Новый Windows-инфостилер стал улучшенной версией RedLine

Новый Windows-инфостилер стал улучшенной версией RedLine

Новый Windows-инфостилер стал улучшенной версией RedLine

Исследователь сетевых угроз Брэд Дункан (Brad Duncan) обнаружил спам-кампанию, нацеленную на распространение инфостилера META (не путать с организацией Meta, признанной в России экстремисткой). Злоумышленники маскируют свои письма под извещение о статусе платежа и снабжают их вредоносным вложением в формате .xls.

Похититель паролей META появился на черном рынке всего месяц назад. Новый Windows-зловред позиционируется как улучшенная версия RedLine и предоставляется в пользование по подписке — как услуга (Malware-as-a-Service, MaaS).

Вредонос умеет воровать учетные данные, сохраненные в браузерах (Chrome, Edge, Firefox), и ключи к криптокошелькам. Он также с помощью PowerShell вносит свой exe-файл в список исключений Microsoft Defender, чтобы снизить риск обнаружения.

Цепочка заражения в рамках выявленной киберкампании вполне стандартна. Прикрепленный к фальшивому письму документ Excel содержит вредоносный макрос — VBS-код, который получателю предлагается запустить вручную.

 

Для пущей убедительности потенциальной жертве отображают логотип DocuSign, свидетельствующий о защите контента электронной подписью. После запуска вредоносный скрипт начинает скрытно загружать со сторонних сайтов различные файлы для формирования финальной полезной нагрузки. Их содержимое закодировано по base64, или применен обратный порядок следования байтов — для обхода антивирусов.

Итоговому исполняемому файлу присваивается имя qwveqwveqw.exe (скорее всего случайное). Чтобы обеспечить META Stealer постоянное присутствие, в системном реестре создается новый ключ. С этого момента явным признаком заражения является трафик, который зловредный экзешник генерирует при обмене с C2-сервером (московский 193[.]106[.]191[.]162  в сетях AS-провайдера, зарегистрированного в Красноярске).

 

По всей видимости, рост популярности нового инфостилера, так же как Mars Stealer и BlackGuard, обусловлен уходом со сцены более мощного конкурента Raccoon. Владельцы этого MaaS-вредоноса свернули свои операции в конце прошлого месяца — но пообещали вернуться.

Февральское обновление Windows 11 вызвало бесконечную перезагрузку

Февральское обновление Microsoft для Windows 11 — KB5077181 — неожиданно стало источником серьёзных проблем. Пользователи жалуются на «бесконечную перезагрузку»: система после установки апдейта уходит в цикл рестартов и не загружается до рабочего стола.

Речь идёт о накопительном обновлении от 10 февраля 2026 года для Windows 11 версий 24H2 (сборка 26200.7840) и 25H2 (26100.7840). Пакет входит в традиционный Patch Tuesday и включает как патчи, так и улучшения качества, унаследованные от предыдущих обновлений.

По сообщениям на Reddit и профильных форумах, некоторые устройства после установки KB5077181 перезагружаются более 10-15 раз подряд. Войти в систему при этом невозможно.

Тем, кому всё же удаётся ненадолго попасть на рабочий стол, система показывает ошибки, связанные со службой System Event Notification Service (SENS) — например, сообщение «указанная процедура не найдена». Также упоминаются сбои DHCP, из-за которых пропадает интернет даже при активном подключении.

В других случаях обновление вообще не устанавливается — появляются коды ошибок 0x800f0983 и 0x800f0991. Это может говорить о зависимости проблемы от конкретного оборудования, драйверов или состояния системы обновлений.

KB5077181 — часть крупного февральского релиза, который, по данным Microsoft, закрывает 58 уязвимостей в компонентах Windows. Среди них — шесть 0-day, уже используемых в атаках и включённых в каталог CISA.

По состоянию на 15 февраля Microsoft не добавила информацию о «бесконечной перезагрузке» в раздел известных проблем на странице обновления или в панели состояния Windows.

Тем не менее количество жалоб в сообществах растёт.

Если Windows всё ещё запускается, пользователи советуют удалить обновление через Панель управления Программы и компоненты Просмотр установленных обновлений, а затем временно приостановить обновления, чтобы система не установила патч повторно.

Если устройство не загружается, можно воспользоваться средой восстановления Windows (прервать загрузку три раза подряд или использовать установочную флешку), открыть командную строку и выполнить:

wusa /uninstall /kb:5077181 /quiet /norestart

После восстановления рекомендуется проверить целостность системных файлов командой sfc /scannow.

Корпоративным пользователям эксперты советуют не разворачивать обновление массово, а тестировать его через поэтапные кольца (rings) или WSUS и внимательно отслеживать состояние загрузки устройств.

RSS: Новости на портале Anti-Malware.ru