APT37 использовала встречу представителей КНДР и Донбасса как приманку

APT37 использовала встречу представителей КНДР и Донбасса как приманку

APT37 использовала встречу представителей КНДР и Донбасса как приманку

В Fortinet проанализировали недавнюю имейл-атаку, в ходе которой на машины Windows загружался RAT-инструмент Konni. Вредоносные сообщения были написаны на русском языке и имитировали переписку между российскими дипломатами.

Инструмент удаленного администрирования Konni зачастую использует APT37, она же Ricochet Chollima, InkySquid, ScarCruft, Reaper и Group123. Для его засева северокорейские хакеры и ранее использовали спам-рассылки и похожую схему доставки, поэтому аналитики с большой долей уверенности приписали новую атаку этой APT-группе.

Вредоносные письма незамысловаты и призваны создать видимость официальной переписки. С этой целью злоумышленники сфальсифицировали адрес отправителя и использовали форму ответа на некое предыдущее послание.

 

Примечательно, что вложение поименовано с использованием латиницы. Анализ показал, что zip-архив содержит два файла — Pyongyang in talks with Moscow on access to Donbass.pptx и Donbass.ppam.

Первый служит ширмой: в набор слайдов включены сообщения о встрече высокопоставленных представителей КНДР, ДНР и ЛНР, которая состоялась в прошлом месяце в Москве. Все новости взяты из открытых англоязычных источников, два слайда содержат только текст на русском языке. Все ссылки в этих новостях ведут на легитимные сайты; подозрительного контента в pptx-файле не обнаружено.

Вредоносным оказался Donbass.ppam (файл плагина Microsoft PowerPoint). При его открытии запускается макрос, который прежде всего выводит диалоговое окно с сообщением об ошибке:

 

Используя приглашение командной строки, вредонос помещает большой фрагмент шифротекста (base64) в файл oup.dat и сохраняет его в папке %TMP%. Расшифровка осуществляется с помощью Certutil, итог записывается в файл oup.vbs, с сохранением в %LOCALAPPDATA%\Microsoft\Office.

Скрипт VBS выполняет две задачи: создает запланированное задание Office Updatev2.2, чтобы обеспечить свой запуск каждые пять минут, и выполняет PowerShell-команду на сбор и отправку системных данных в домен gg1593[.]c1[.]biz. Командный сервер злоумышленников, расположенный в Болгарии, уже недоступен, поэтому добыть образец Konni для анализа специалистам не удалось.

Windows 11 позволит поштучно отлучать программы от камеры и микрофона

Microsoft тестирует в Windows 11 более вменяемое управление конфиденциальностью. В экспериментальной сборке 26340.9212 пользователи получили возможность отдельно запрещать классическим Win32-программам доступ к камере, микрофону, геолокации и голосовой активации.

Сейчас Windows обращается с обычными десктопными приложениями как с шумной компанией, пришедшей с одним билетом.

Разрешили микрофон для Discord — доступ остаётся включённым и для Chrome, и для других Win32-программ. Индивидуальные переключатели доступны только приложениям из Microsoft Store.

Новый механизм исправляет этот перекос. В настройках конфиденциальности можно будет оставить доступ нужной программе, а остальным закрутить цифровой кран.

Windows и раньше фиксировала, какие приложения обращались к конфиденциальным данным и оборудованию, но точечно управлять их разрешениями через стандартный интерфейс не позволяла.

Источник: Neowin

 

Новшество обнаружили в тестовой сборке, хотя Microsoft не упомянула его в официальном списке изменений. Более того, функция появилась не у всех участников программы Windows Insider (вероятно, компания проводит ограниченное тестирование).

Если эксперимент доберётся до обычных пользователей, Windows наконец перестанет выдавать классическим программам разрешения оптом.

RSS: Новости на портале Anti-Malware.ru