APT-группы из России и Китая используют вредоносные RTF-документы

APT-группы из России и Китая используют вредоносные RTF-документы

Правительственные киберпреступники Китая, Индии и России используют новый метод инъекции RTF-шаблона. Об этом сообщили исследователи в области кибербезопасности из компании Proofpoint, проанализировавшие недавние фишинговые кампании.

RTF или Rich Text Format представляет собой кросс-платформенный формат текстовых документов. Экспортировать и корректировать RTF-файлы можно в большинстве текстовых редакторов, а встроенный в Windows WordPad вообще сохраняет документы в этом формате по умолчанию.

В целевых кибератаках злоумышленники используют вполне безобидную функциональность RTF для загрузки вредоносного содержимого с удалённого сервера. Возможности Rich Text Format позволяют атакующим загрузить RTF-шаблон по специальному URL вместо локального файла.

Проще говоря, преступники банально подменяют путь к локальному файлу ссылкой, ведущей на загрузку пейлоада.

Эксперты Proofpoint отметили, что подобные кибератаки на сегодняшний день достаточно трудно детектируются антивирусными движками, если сравнивать с более традиционной техникой внедрения Office-шаблона.

Согласно отчёту Proofpoint, киберпреступники создают специальные вредоносные версии RTF-документов, которые будут загружать в систему жертвы пейлоад. Злонамеренный URL при этом обфусцируется, дабы избежать алёртов со стороны антивирусных продуктов.

 

В Proofpoint отметили, что подобная техника используется в атаках APT-группировок DoNot Team, Gamaredon и TA423.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Борьба с AdBlock: YouTube встраивает рекламу в видео на стороне сервера

Согласно последним сообщениям, YouTube теперь встраивает рекламу непосредственно в видеопоток, чтобы затруднить её блокировку. Так сервис продолжает бороться с AdBlock и его аналогами.

На новый подход видеохостинга обратили внимание разработчики SponsorBlock, стороннего расширения для браузера.

По словам девелоперов, нововведения YouTube ломают функциональность SponsorBlock (следующим апдейтом обещают всё исправить), но при этом затрагивают и другие блокировщики рекламы.

 

Ранее YouTube внедрял рекламу на стороне клиента. За её вывод отвечали скрипты JavaScript и видеоплеер, но при этом видеопоток и рекламные объявления разделялись.

Плеер настроен таким образом, чтобы в определённых временных точках ролик ставился на паузу, а вместо видео пользователю отображалась реклама.

AdBlock и схожий софт режет рекламу, блокируя код JavaScript, предназначенный для её вывода. Но при новом подходе YouTube реклама на стороне сервера интегрирует объявления прямиком в видео. Таким образом, пользователь получает непрерывный поток с уже встроенной туда рекламой.

Теперь разработчики AdBlock и аналогов должны использовать более сложные алгоритмы детектирования рекламы, задействовать анализ метаданных и новые паттерны, чтобы выявить внезапные изменения в аудио- и видеопотоке.

Напомним, в мае YouTube пытался прокручивать видео до конца для пользователей AdBlock Plus.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru