Вредоносный VirusTotal

Интернет-ресурс VirusTotal знаком многим пользователям Сети. С его помощью можно получить быстрые и наглядные результаты проверки подозрительного файла мультисканером, в работе которого участвует несколько десятков антивирусных продуктов. Теперь же популярностью проекта решили воспользоваться и киберпреступники: "Лаборатория Касперского" обнаружила вредоносную копию сервиса Hispasec.


Об очередной угрозе пишет в блоге Securelist эксперт компании Хорхе Мьерес. По его словам, злоумышленники часто используют кроссплатформенные Java-сценарии в сочетании с психологическим манипулированием, и данный случай относится именно к такому типу. Ложный ресурс довольно точно имитирует интерфейс VirusTotal, однако "изнутри" - со стороны исходного кода - заметно отличается от него наличием вредоносной нагрузки.

В коде имеется скрытая отсылка на Java-апплет, посредством которого на компьютер жертвы загружается опасное программное обеспечение. Творение вирусописательской мысли занесено в антивирусные базы "Лаборатории Касперского" как Worm.MSIL.Arcdoor.ov; сущностно оно является бот-клиентом, который в случае успешного инфицирования системы подключает компьютер к вредоносной сети и вынуждает его участвовать в DDoS-атаках разнообразного рода. Упоминаются, в частности, атаки типа synflood, httpflood, udpflood и icmpflood.

Серверы контроля могут посылать зомби-машине несколько различных видов команд. В числе прочих г-н Мьерес упоминает такие управляющие параметры, как "&mode" (указание на тип инициируемой атаки), "&botver" (извлечение версии бот-клиента), "&pcname" (имя инфицированного компьютера), "&winver" (получение сведений об операционной системе). Также анализ бот-клиента позволил эксперту утверждать, что злоумышленники манипулируют ботнетом через специализированное веб-приложение N0ise, которое довольно популярно среди операторов вредоносных сетей. В заключение специалист отметил, что "Лаборатория Касперского" будет вести дальнейшее изучение этой угрозы.

Письмо автору

" />

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Атаки на WordPress-сайты через плагин Social Warfare набирают обороты

Атаки на WordPress-сайты набирают обороты как снежный ком, предупреждают эксперты. Все благодаря уязвимому плагину Social Warfare, который в настоящий момент угрожает около 40 000 сайтам.

Social Warfare содержит XSS-уязвимость, которая также способна привести к удаленному выполнению кода. Используя эту брешь, атакующий может удаленно выполнить код PHP, получив полный контроль над целевым ресурсом, при этом не требуется проходить процесс аутентификации.

Если злоумышленникам удается получить контроль над атакуемым сайтом, они встраивают скрипты для майнинга криптовалюты, чтобы зарабатывать на посетителях. Также распространены случаи встраивания вредоносной рекламы и использования взломанного сайта как части ботнета.

Эксперты Palo Alto Networks напоминают о доступности соответствующего патча, который устраняет уязвимость CVE-2019-9978. К сожалению, владельцы многих ресурсов до сих пор не осознали серьезность ситуации и продолжают игнорировать вышедший апдейт.

Напомним, что в марте Social Warfare был удален из официального репозитория. Этот плагин позволяет владельцам сайтов на WordPress добавлять себе на ресурсы кнопки социальных сетей, предназначенные для того, чтобы делиться материалами на других площадках.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru