Eset сообщила об обнаружении необычной Drive-by атаки в Рунете

Александр Панасенко 10 Апреля 2012 - 12:37

...

Антивирусный вендор Eset сегодня сообщил об обнаружении новой атаки, распространяющей новую вредоносную программу. Изюминка атаки в том, как ее организаторы пытаются скрыть присутствие вредоносной программы - скрипт, вызывающий вредоноса, иниицируется при особом движении курсора мышки на сайте. Новая атака типа drive-by была обнаружена Eset в Рунете и как таковая не требует, чтобы пользователь напрямую взаимодействовал с вредоносной программой.

Большинство атак подобного типа полагаются на скрытые ifame, размещаемые внутри нормального кода, но скомпрометированные сайты переводят посетителей на атакующие ресурсы. Новая же атака фактически не использует никаких подозрительных включений, которые бы могли вызвать включение антивирусного сканера. Вместо этого, вредоносный код JavaScript подгружается из другого JS-файла, расположенного удаленно, однако подгрузка происходит только во время движения курсора мыши, передает cybersecurity.

Подобным образом злоумышленники, судя по всему, пытаются отсеять реальных жертв (людей) от автоматизированных кодов, сканирующих веб-сайты на наличие вредоносов, что позволит продлить срок жизни данной атаки. В Eset называют найденную атаку дальнейшим развитием атак drive-by, предусматривающих прямую инъекцию кода. Так как тут используется более продвинутый алгоритм, то обнаружить реальный вредоносный код значительно сложнее.

В случае, если система детектирует, что на сайте присутствует реальный человек, то производится инсталляция кода, ранее присутствовавшего в наборе эксплоитов Nuclear Pack. В самом Nuclear Pack большая часть кодов эксплуатирует уязвимости в Java, Adobe Reader или Flash Player. В случае последней атаки, злоумышленники используют нашумевшую Java-уязвимость CVE-2012-0507, устраненную для Windows еще в феврале, а для Mac - на прошлой неделе.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Татьяна Никитина 08 Октября 2025 - 20:17

Windows Трояны Домашние пользователи

Троян Shuyal Stealer ворует данные из 19 браузеров и исчезает без следа

В ИБ-компании Point Wild проанализировали образец Windows-стилера Shuyal, объявившегося в июле, и обнаружили внушительный список целевых браузеров — 19 наименований, в том числе Яндекс Браузер и Tor.

Свое имя написанный на C++ зловред (детектится на VirusTotal с результатом 48/72 по состоянию на 8 октября) получил по найденному в экзешнике идентификатору. От собратьев новобранец отличается не только большим количеством целей, но также умением заметать следы.

После запуска Shuyal Stealer прежде всего выполняет глубокое профилирование зараженной системы с помощью WMI: собирает данные жестких дисков (модель, серийный номер), подключенной клавиатуры (включая ID), информацию о настройках монитора, чтобы выстроить стратегию кражи данных сообразно конкретным условиям.

Троян также прибивает Диспетчер задач, способный выдать запуск вредоносных процессов, и прописывается в системе на автозапуск.

Кража данных осуществляется с помощью скриптов PowerShell. При этом зловреда интересует следующая информация:

сохраненные в браузере учетки, куки и история посещения сайтов;
содержимое буфера обмена;
токены аутентификации из Discord, Discord Canary и Discord PTB.

Инфостилер также умеет делать скриншоты, чтобы добавить контекст к украденным данным.

Вся добыча вместе с журналом вредоносной активности (history.txt) помещается в директорию runtime, специально создаваемую в папке временных файлов. Для эксфильтрации ее содержимое архивируется (runtime.zip) и затем отсылается в телеграм-бот, который Shuyal находит по вшитому ID.

Завершив кражу и вывод данных, Shuyal пытается стереть все следы своего присутствия в системе с помощью скрипта util.bat.