Атаки Remcos RAT используют известный способ обхода UAC

Атаки Remcos RAT используют известный способ обхода UAC

Атаки Remcos RAT используют известный способ обхода UAC

Эксперты SentinelOne выявили новую спам-кампанию, нацеленную на засев RAT-трояна Remcos с помощью загрузчика DBatLoader. Вредоносные письма распространяются в основном в странах Восточной Европы.

Текущие атаки примечательны тем, что используют способ обхода контроля учетных записей Windows (UAC), опубликованный почти три года назад. По всей видимости, эффективности он не утратил.

Рассылка поддельных писем в рамках данной кампании ведется из TLD-доменов, соответствующих стране получателя. Вредоносные вложения обычно выдаются за инвойс, детали тендера или другой финансовый документ. Само сообщение лаконично и призвано привлечь внимание к прикрепленному архивному файлу, содержащему зловреда.

 

Первичная полезная нагрузка DBatLoader замаскирована под документ Microsoft Office, LibreOffice либо PDF, снабженный двойным расширением и/или иконкой приложения, вводящей в заблуждение. При запуске зловред загружает из публичного облака (Microsoft OneDrive, Google Диск) пейлоад второй ступени — стейджер.

В рамках подготовки запуска Remcos вредоносный загрузчик создает и исполняет BAT-скрипт, нейтрализующий UAC по методу, который Дэниел Геберт (Daniel Gebert) продемонстрировал на Windows 10 в 2020 году. Для обхода такой защиты исследователь использовал подмену DLL и имитацию доверенной директории.

Дело в том, что Windows слепо доверяет некоторым каталогам (вроде C:\Windows\System32\), позволяя исполняемым файлам повышать привилегии без вывода предупреждений UAC. Имитация папки с умышленно внесенным пробелом (например, C:\Windows \System32) способна ввести в заблуждение ОС: некоторые Windows-программы, в том числе Проводник, в таких случаях не видят различий.

Используемый DBatLoader скрипт создает такой мок-объект и копирует туда KDECO.bat, легитимный файл easinvoker.exe и вредоносную библиотеку netutils.dll. Утилита easinvoker.exe, по словам экспертов, позволяет провести подмену DLL, и зловредная netutils, запускающая KDECO.bat, в данном случае исполняется в ее контексте, притом незаметно для пользователя.

Чтобы не вызвать подозрений у штатного антивируса, вредоносный загрузчик добавляет исключение в список Microsoft Defender. Зловред также прописывается в системе на автозапуск, создавая новый ключ реестра.

Целевой пейлоад, remcos.exe, запускается на исполнение путем инъекции в процесс. Обнаруженные образцы трояна обладали функциями кейлогера, умели делать снимки экрана, а также использовали бесплатный сервис DuckDNS для связи с C2.

Для защиты от подобных атак Sentinel One советует включить UAC-настройку «Всегда уведомлять» и мириться с тем, что она слишком назойлива и создает много шума. Админам также рекомендуется отслеживать создание подозрительных файлов и исполнение процессов из доверенных папок с хвостовыми пробелами, особенно со строкой «\Windows» в пути к файлу.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Резких шагов по отключению карт Visa и Mastercard не будет

Резких мер по отключению карт систем Visa и Mastercard не планируется. Банк России и кредитные организации совместно будут постепенно замещать карты ушедших из страны международных платёжных систем. Об этом сообщила глава департамента национальной платёжной системы Банка России Алла Бакина на форуме «Финополис-2025».

«Все карты работают. Когда международные платёжные системы ушли, мы сделали всё, чтобы они продолжали работать, и наши граждане этого не почувствовали. Мы нашли решение, чтобы карты не блокировались. Никаких резких шагов, которые могли бы вызвать неудобства у клиентов, не будет», — заявила представитель регулятора.

По словам Аллы Бакиной, Центробанк совместно с банками уделяет особое внимание вопросам безопасности, особенно на фоне опасений, связанных с истечением сроков действия сертификатов безопасности чипов, установленных на картах Visa и Mastercard.

«После июльских заявлений Банка России о возможном ограничении срока действия карт Visa и Mastercard прошло некоторое время, и сейчас важно прояснить ситуацию. Регулятор учитывает позицию рынка и стремится сделать процесс максимально удобным для держателей карт. Главное — никаких резких действий не планируется», — отметила доцент кафедры мировых финансовых рынков и финтеха РЭУ им. Г. В. Плеханова Татьяна Белянчикова.

По мнению эксперта, истечение срока действия сертификатов означает, что Visa и Mastercard снимают с себя ответственность за безопасность транзакций и данных. При этом безопасность полностью обеспечивается российскими банками и Национальной системой платёжных карт, которая отвечает за процессинг операций.

«Если регулятор всё же решит ограничить срок действия карт Visa и Mastercard, об этом предупредят заранее. Обмен карт пройдёт спокойно и в плановом режиме. Даже если старая карта будет отключена до получения новой, средства на счёте никуда не исчезнут: ими можно будет воспользоваться, сняв наличные или переведя деньги на другие счета через интернет-банк», — добавила Белянчикова.

Как напомнил начальник аналитического отдела инвесткомпании «Риком-Траст» Олег Абелев, выпуск новых карт Visa и Mastercard в России прекращён с 2022 года. Действующие карты продолжат работу до окончания срока действия, после чего будут заменены на карты «Мир».

«Что делать держателям карт Visa и Mastercard сейчас? Прежде всего — не паниковать. Карты работают и будут действовать до конца срока. Проверьте срок действия и оцените свои потребности. Если вы не путешествуете за границу и не совершаете покупки на зарубежных сайтах, карты "Мир" будет вполне достаточно», — отметил Абелев.

Генеральный директор платёжного сервиса Vepay Георгий Никонов добавил, что принудительная замена карт может негативно сказаться на лояльности клиентов. По его словам, банки заинтересованы в её сохранении и не планируют прибегать к подобным мерам.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru