Вредонос GooseEgg распространяется с помощью бреши в Windows Print Spooler

Вредонос GooseEgg распространяется с помощью бреши в Windows Print Spooler

Вредонос GooseEgg распространяется с помощью бреши в Windows Print Spooler

Киберпреступная группа Fancy Bear, которую на Западе ассоциируют с Россией, воспользовалась уязвимостью в компоненте службе печати Windows для загрузки в систему ранее неизвестного вредоноса — GooseEgg.

Этот зловред активен с июня 2020 года и использует уже исправленный баг, позволяющий повысить привилегии (CVE-2022-38028, 7,8 баллов по CVSS).

В октябре 2022 компания Microsoft устранила уязвимость в обновлениях.

Согласно информации, полученной от команды киберразведки Microsoft, шпионская группа APT28, также известная как Fancy Bear, использовала этот баг в атаках на украинские, западноевропейские и североамериканские правительственные, неправительственные, образовательные и транспортные организации.

По сообщению компании, хакеры доставили вредоносную программу путем модификации файла ограничений JavaScript и его выполнения с правами уровня SYSTEM.

Несмотря на простенький лончер GooseEgg способен порождать другие приложения, указанные в командной строке, с повышенными правами, что позволяет злоумышленникам развивать свои атаки: удаленно выполнять код, устанавливать бэкдор и перемещаться по скомпрометированным сетям.

В последние месяцы APT28 также использовала уязвимость повышения привилегий в Microsoft Outlook (CVE-2023-23397, CVSS: 9,8) и баг выполнения кода в WinRAR (CVE-2023-38831, CVSS: 7,8), что свидетельствует об их способности быстро внедрять публичные эксплойты в свою работу.

Microsoft заявила, что с помощью GooseEgg злоумышленники хотят получить привилегированный доступ к целевым системам и украсть учетные данные и информацию.

Двоичный файл GooseEgg поддерживает команды для запуска эксплойта и подгрузки либо предоставленной библиотеки динамических связей (DLL), либо исполняемого файла с повышенными правами. С помощью команды whoami он также проверяет, был ли эксплойт успешно активирован.

На атаки с GooseEgg эксперты обратили внимание после того, как IBM X-Force обнаружила новые фишинговые атаки, организованные хакером Gamaredon (он же Aqua Blizzard, Hive0051 и UAC-0010), направленные на Украину и Польшу, которые доставляют новые итерации вредоносной программы GammaLoad.

В начале этого месяца исследователи IBM X-Force рассказали, что злоумышленники ротируют инфраструктуру посредством синхронизированных DNS-флудов по нескольким каналам, включая Telegram, Telegraph и Filetransfer.io., что указывает на потенциальное увеличение ресурсов и возможностей злоумышленника. Это способствует явному ускорению темпа операций.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Глушилки для дронов обяжут согласовывать с МВД наравне с оружием

В октябре Госкомиссия по радиочастотам рассмотрит предложение об обязательном согласовании применения средств радиоэлектронного подавления (РЭП) с территориальными органами МВД. Фактически эта мера приравняет использование РЭП к обороту гражданского оружия.

Как сообщают «Известия», вопрос уже включен в повестку заседания Госкомиссии по радиочастотам (ГКРЧ). Владельцам средств РЭП предстоит согласовывать их размещение и эксплуатацию с территориальными подразделениями МВД.

«В данном случае государство действует на опережение, не дожидаясь серьезных последствий стихийной борьбы с БПЛА — например, в сфере авиаперевозок», — прокомментировал инициативу генеральный директор TelecomDaily Денис Кусков.

По его словам, бесконтрольное использование РЭП пока не привело к крупным инцидентам, но уже вызывает серьезное недовольство автоперевозчиков и автомобилистов. Радиопомехи мешают работе навигационных систем транспорта, что приводит к штрафам за якобы отключенные системы слежения.

В частности, ассоциация «Грузавтотранс» подала жалобу в Роскомнадзор на использование таких устройств вдоль дорог. По оценке эксперта, глушилки применяют не только охранные компании, но и управляющие организации в ЖКХ, садовые товарищества и отдельные железнодорожные станции.

Заместитель гендиректора НИЦ «Аэроскрипт», эксперт НТИ «Аэронет» Андрей Яблоков отметил, что работа РЭП может повлиять и на функционирование авионики пилотируемых воздушных судов. Поэтому применение подобных систем необходимо жестко регулировать.

Партнер ComNews Research Леонид Коник напомнил, что еще в июле 2024 года было введено требование регистрировать устройства радиоподавления в Роскомнадзоре и получать письменное согласие на их использование от Минобороны.

Однако, по его словам, на практике эти требования часто игнорируются. Эксперт считает логичным возложить на МВД функции выявления нарушителей, но при этом передать разрешительные процедуры одному органу, чтобы избежать «дублирования» согласований.

Партнер «Рустам Курмаев и партнеры» Дмитрий Горбунов, напротив, полагает, что подключение МВД к процессу выдачи разрешений обоснованно и необходимо. По его мнению, это соответствует общей системе координации правоохранительных органов, тем более что у МВД есть нужная инфраструктура.

Заместитель директора компании «Лаборатория будущего» Илья Шевелев добавил, что в стране нет единого органа, отслеживающего, где и кем используются системы РЭП. По его мнению, контролировать размещение и применение таких устройств должны МВД или Организация воздушного движения, которая координирует полеты.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru