Злодеи обходят защитные средства с помощью старой дыры в Windows-драйвере

Злодеи обходят защитные средства с помощью старой дыры в Windows-драйвере

Злодеи обходят защитные средства с помощью старой дыры в Windows-драйвере

Киберпреступная группа, которую отслеживают под именем Scattered Spider, начала эксплуатировать старую уязвимость в драйвере Intel Ethernet для систем Windows. С помощью этой бреши злоумышленники пытаются пробраться в системы телекоммуникационных компаний.

Scattered Spider также носит кодовые имена Roasted 0ktapus и UNC3944. Группировка известна своими атаками на телеком-сферу и организации, занимающиеся аутсорсингом бизнес-процессов (BPO).

Впервые о Scattered Spider заговорили в июне 2022 года, когда та пыталась атаковать сети операторов связи. Для получения учётных данных и одноразовых паролей аутентификации группа использует агрессивный фишинг и методы социальной инженерии.

В последние недели Scattered Spider начала использовать эксплойт для уязвимости CVE-2015-2291, затрагивающей Intel Ethernet, драйвер для диагностики в Windows. Эксплуатация позволяет выполнить вредоносный код на уровне ядра.

На новые атаки обратили внимание специалисты CrowdStrike. По их словам, раньше атакующие уже использовали CVE-2015-2291 для развёртывания вредоносного драйвера на уровне ядра. Эта техника получила название Bring Your Own Vulnerable Driver (BYOVD).

Несмотря на то что Microsoft начала блокировать дырявые драйверы в Windows 10, киберпреступникам всё равно удаётся обойти эти ограничения.

Как отметили в CrowdStrike, Scattered Spider пытается использовать вредоносный драйвер для обхода антивирусных средств от Microsoft, Palo Alto Networks, SentinelOne и CrowdStrike. При этом упомянутый драйвер подписан с помощью украденных сертификатов.

Чтобы уйти от детектирования, файл работает через загруженные модули ядра и патчит компоненты защитного софта в памяти. Организациям рекомендуют просканировать свои системы на наличие CVE-2015-2291.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Android 16 научится маскировать ваше местоположение в деревне

Многие Android-приложения просят доступ к вашей геолокации — якобы чтобы показывать более точные результаты. Но была проблема: Android выдавал одинаково «приблизительные» координаты везде — хоть в центре Москвы, хоть в деревне на сто жителей. В городе это выглядело безопасно — вокруг тысячи людей, и вы теряетесь в толпе. А вот в селе, где одна улица и три дома, даже «примерная» точка могла легко выдать вас.

Правда в том, что далеко не всем программам нужно знать, где вы находитесь с точностью до метра.

Поэтому в Android уже давно есть два уровня: Precise (точное) и Approximate (приблизительное) местоположение. Первое — для навигаторов и карт, второе — для всех остальных, кому достаточно просто знать, что вы где-то в городе.

В Android 16 появилась новая функция density-based coarse location — «приблизительное местоположение на основе плотности населения». Она работает просто: система проверяет, насколько густо заселён район, и если рядом мало людей, то делает координаты ещё более размытыми.

 

Чем меньше вокруг жителей — тем шире зона, которую Android покажет приложению. Технически за это отвечают так называемые population density providers — модули, которые определяют плотность населения в текущей точке.

 

 

Обычно их поставляет Google Play Services, но производители телефонов (особенно в Китае, где сервисы Google недоступны) смогут реализовать свои.

Пока неизвестно, запущена ли функция на всех устройствах. На смартфонах Pixel она вроде бы включена, но доказательств, что она реально работает, пока нет. Проверить можно просто — поехать куда-нибудь в глушь и посмотреть, станет ли «приблизительная» точка на карте ещё менее точной.

И это не всё. По слухам, Google также тестирует новую систему позиционирования Bluewave — она должна точнее определять координаты, комбинируя данные GPS и сигналов от базовых станций. Если верить источникам, точность вырастет примерно в 2,25 раза. Правда, компания пока ничего официально не объявляла.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru