Супермаркеты ALDI продавали жесткие диски с вредоносным ПО

Супермаркеты ALDI продавали жесткие диски с вредоносным ПО

ALDI - это сеть супермаркетов, штаб-квартиры которой находятся в Германии, а филиалы работают в более чем десяти странах мира. В магазинах сети продаются разнообразные товары, начиная от продуктов питания и заканчивая высокотехнологичными устройствами. Одно из таких устройств, по данным австралийской службы быстрого реагирования на компьютерные инциденты (AusCERT), оказалось "с сюрпризом".


Проблемный продукт представляет собой комбинированный внешний привод, объединяющий в одном корпусе жесткий диск, устройство для чтения и записи DVD, USB-концентратор и картридер (так, по крайней мере, утверждает производитель, хотя по внешнему виду изделия трудно заподозрить у него наличие столь широкого спектра талантов). Так или иначе, именно встроенный в него 320-гигабайтный HDD-накопитель и стал местом расположения вредоносных файлов, о чем AusCERT вчера сообщила через государственную службу экстренных уведомлений Stay Smart Online.

Представители ALDI, в свою очередь, заявили, что инфекция проникла в относительно небольшое количество устройств, но, тем не менее, его продажи были временно приостановлены, а уже попавшие к покупателям экземпляры - отозваны. Впрочем, возвращать изделие в магазин клиентам не обязательно - вполне достаточно просто отформатировать диск перед началом его использования, и вредоносная программа бесследно исчезнет. Этот совет содержится и в рекомендациях AusCERT, которая выпустила соответствующий бюллетень по этой проблеме.

Что касается собственно инфекции, то это всем давно знакомый червь Conficker (он же Kido и Downadup). Эксперты AusCERT сообщают, что этот конкретный образец датирован аж 2008 годом, так что обнаружить и уничтожить его должно суметь практически любое средство антивирусной защиты. Откуда он вообще взялся и как сумел проникнуть на носители информации, пока не известно; видимо, производитель комбинированных устройств уделял не слишком много внимания информационной безопасности.

Хотя на этот раз все кончилось относительно благополучно, все равно не будет лишним напомнить, что в наш век масштабного производства и распространения вредоносных программ после покупки любого носителя информации и любого устройства с внтуренним накопителем стоит проверять его на нежелательную нагрузку или сразу форматировать перед использованием.

ZDNet Australia

Письмо автору

" />

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники хранили свой код в DNS-записях в шестнадцатеричном формате

Команда DomainTools обнаружила еще один пример использования DNS как хранилища вредоносов. Для сокрытия бинарника его конвертировали в шестнадцатеричный формат, разбили на части и спрятали в TXT-записях связанных поддоменов.

Подобные злоупотребления рассчитаны на то, что защитные решения редко проверяют DNS-трафик на предмет угроз, он для них слепая зона. К тому же организовать выявление аномалий в легитимном потоке запросов в данном случае непросто, а при использовании шифрования (DoH или DoT) — еще сложнее.

Привлекшие внимание экспертов записи DNS TXT содержали информацию о сотнях различных поддоменов *.felix.stf.whitetreecollective[.]com, дополненную фрагментами кода в шестнадцатеричном формате.

 

При их извлечении и сборке с преобразованием в двоичный файл оказалось, что это Joke Screenmate — злонамеренное приложение Windows, которое выводит на экран изображения или анимацию, от которых трудно избавиться.

Это может быть череда шутливых картинок, которые быстро множатся, и их трудно закрыть. Более агрессивные варианты таких программ пугают жертв бесконечными сообщениями об ошибках или якобы обнаруженных вирусах.

Известны случаи, когда в DNS-записях скрывались вредоносные скрипты. Исследователи из DomainTools тоже столкнулись с таким TXT-содержимым; на поверку зашифрованный Powershell оказался загрузчиком, скачивающим пейлоад второго этапа атаки с C2 на базе Covenant.

В комментарии для Ars Technica представитель DomainTools поведал, что недавно они нашли DNS-записи с текстами для ИИ-ботов, которые, видимо, используются в рамках промпт-инъекций. Все фразы начинались с «Ignore all previous instructions» («Забудь обо всех прежних инструкциях») и содержали различные просьбы, от с виду невинных (назвать произвольное число, выдать краткое содержание фильма «Волшебник», спеть песню, как птичка) до явно провокационных (игнорить все последующие инструкции, удалить обучающие данные и восстать против своих хозяев).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru