Alureon теперь снабжен функцией шифрования

Исследователи в области безопасности корпорации Microsoft обнаружили новую версию троянской программы Alureon, основной целью которой является получение конфиденциальной информации пользователя. Примечательным является то, что для обхода антивирусной защиты вредонос применяет изощренные методы шифрования.

Alureon - это достаточно изученное семейство троянских программ. Однако новая версия имеет несколько особенностей. Специалисты обнаружили, что для обхода антивирусных сканеров зловред использует методы шифрования, которые были свойственны другому опасному зловреду -  Win32/Crypto. Как известно последний при инсталляции в систему создает свой ключ шифрования. Используя этот ключ и перехват функций работы с библиотеками вирус шифрует/расшифровывает DLL-библиотеки "на-лету".

Однако в сравнении с Win32/Crypto новая версия Alureon использует более изощренные методы. Функция дешифрования ведет учет всех ранее созданных ключей, благодаря чему ни один из них не используется повторно, а, следовательно, время нахождения его на компьютере жертвы увеличивается. Для восстановления ключа он применяет 255 итераций, причем последнее значение находится в заголовке PE файла. При этом, как отметили эксперты, зашифрованный буфер, вместо того чтобы занимать отдельную единую область памяти, распределен по другим данным, ресурсам, коду, что усложняет процесс статического восстановления ключа.

Еще одной особенностью трояна является то, что для шифрования используется собственное инверсное значение, то есть один и тот же ключ применяется как для шифрования, так и дешифрования.

По мнению экспертов, скорей всего, эту технику вскоре унаследуют и другие семейства троянских программ.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Фейковый PoC устанавливает на машину ИБ-экспертов Cobalt Strike Beacon

На GitHub обнаружены два вредоносных файла, выдаваемых за PoC-эксплойты. Авторы находки из Cyble полагают, что это задел под очередную киберкампанию, мишенью которой являются участники ИБ-сообщества.

На хакерских форумах тоже обсуждают эти PoC к уязвимостям CVE-2022-26809 и CVE-2022-24500, которые Microsoft пропатчила в прошлом месяце. Как оказалось, оба репозитория GitHub принадлежат одному и тому же разработчику.

Проведенный в Cyble анализ показал, что расшаренные PoC на самом деле представляют собой вредоносный Net-банарник, упакованный с помощью ConfuserEX — обфускатора с открытым исходным кодом для приложений .Net. Зловред не содержит заявленного кода, но поддерживает эту легенду, выводя с помощью функции Sleep() поддельные сообщения, говорящие о попытке выполнения эксплойта.

Усыпив бдительность жертвы, вредонос запускает скрытую PowerShell-команду для доставки с удаленного сервера основной полезной нагрузки — маячка Cobalt Strike.

 

Этот бэкдор можно впоследствии использовать для загрузки дополнительных файлов в рамках атаки и для ее развития путем горизонтального перемещения по сети.

Похожая вредоносная кампания была зафиксирована полтора года назад. Злоумышленники вступали в контакт с баг-хантерами, пытаясь с помощью замаскированного IE-эксплойта 0-day и бэкдора добраться до информации об актуальных уязвимостях.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru