"Банковский" руткит обходит систему защиты Windows х64

"Банковский" руткит обходит систему защиты Windows х64

Обычно под термином «банковский» подразумеваются трояны, нацеленные на кражу данных пользователей, необходимых для проведения платежных транзакций через Интернет. Однако специалисты в области безопасности обнаружили новый образец вредоносной программы, имеющую те же задачи, но способы извлечения информации намного изощренней.  

По сути это руткит с задачей перехвата нужных данных. Он активно распространяется среди пользователей систем он-лайн банкинга в Бразилии посредством drive-by download атаки.

По словам исследователя в области безопасности "Лаборатории Касперского" Фабио Ассолини схема атаки достаточно проста. Суть ее заключается в том, что посетители популярных ресурсов перенаправляются на замаскированные под легитимные фишинговые сайты. Однако отличительной особенностью вредоноса является то, что он способен не только изменить конфигурацию процесса загрузки, но и обойти систему защиты операционных систем, имеющих архитектуру x64 и x32.

Для атаки киберпреступники используют Java апплет, который снабжен набором вредоносных кодов; каждый из них имеет определенную задачу. Попадая на компьютер жертвы, посредством неисправленных уязвимостей в среде исполнения Java (JRE) файл  "add.reg", отключает защитный механизм контроля аккаунта пользователей (UAC) и добавляет в системный реестр поддельный сертификат  "cert_override.txt" с цифровой подписью CA.

Модификация процесса загрузки происходит благодаря файлу "bcdedit.exe". Этот компонент добавляет в папку с легитимными драйверами два новых "plusdriver.sys" и "plusdriver64.sys". При повторной загрузке они активируются и модифицируют файл хоста.

В результате, ничего не подозревающий пользователь, при посещении веб-страниц он-лайн банкинга оказывается на поддельном веб-сайте. При этом даже соединение осуществляется по якобы защищенному протоколу Https, о чем свидетельствует появившееся изображение.

ARZip 2.0 ускорил создание архивов и уменьшил установщик в 20 раз

Компания ARinteg представила новую версию архиватора ARZip. В релизе 2.0 разработчики переработали производительность, уменьшили размер установочного пакета и добавили несколько новых функций для работы с архивами и интеграции с системами защиты данных.

Одно из главных изменений — ускорение создания архивов за счёт многопоточной обработки. В компании утверждают, что при использовании формата 7z/LZMA2 скорость упаковки файла размером 1,5 ГБ выросла примерно в десять раз по сравнению с ARZip 1.9.

Заодно сильно похудел и сам установочный пакет: теперь он занимает около 9,5 МБ — примерно в 20 раз меньше, чем раньше.

Интерфейс архиватора тоже обновили. Теперь создавать и открывать архивы можно в одном окне, а содержимое архива — просматривать без лишних переключений. Появилась возможность распаковывать только нужную часть архива и автоматически удалять исходные файлы после упаковки.

Поддерживается Drag&Drop: файлы и папки можно отправлять в архиватор простым перетаскиванием.

В ARZip 2.0 также добавили разграничение прав доступа для интеграции с DLP-системами, поддержку шифрования ZipCrypto, сохранение пользовательских настроек архивирования и выбор уровня сжатия.

Отдельно разработчики подчёркивают, что архиватор не использует внешние исполняемые файлы вроде 7ZIP.exe. По их словам, это снижает риск эксплуатации известных уязвимостей, которые ранее находили в WinRAR и 7-Zip.

По сути, ARZip 2.0 — это попытка сделать более современный и лёгкий архиватор с упором на скорость, интеграцию с корпоративной ИБ-инфраструктурой и минимизацию лишних зависимостей.

RSS: Новости на портале Anti-Malware.ru