Мошенники рассылают финансовое предложение

Мошенники рассылают финансовое предложение

Корпорация Symantec сообщает о появлении в сети мошеннических сообщений, использующих предложения IPO от сайта социальной сети Facebook. Киберпреступники рассылают пользователям Интернет финансовые предложения, касающиеся приобретения акций Facebook. Пользователям предлагается «одолжить» мошенникам средства на покупку и последующую выгодную перепродажу акций.

На днях в сети появились предложения IPO (Initial Public Offering) от сайта социальной сети Facebook. Несмотря на его профиль, данному IPO не удалось ускользнуть от внимания злоумышленников, работающих по схеме “419” и “обмана с предоплатой”. Подобные мошенничества обычно обещают огромные суммы денег за некоторую помощь. Однако прежде чем средства будут перечислены, нужно оплатить несколько увеличивающихся взносов и комиссий. Запросы на оплату подобных сборов продолжают приходить, а обещанные богатства так и не появляются.

Недавно специалисты Symantec обнаружили в сети мошенническое сообщение класса 419 "ПРЕДЛОЖЕНИЕ ПАРТНЕРСКОЙ ПОДПИСКИ НА FACEBOOK (IPO)". Использование заглавных букв в заголовке является неотъемлемым признаком категории 419. В сообщении заявлено, что его отправили из финансовой компании, офисы которой открыты по всему миру.

Настоящая суть мошенничества неочевидна. В письме говорится об одалживании денег на «мягких» или выгодных условиях для покупки акций Facebook для их последующей продажи финансовой фирме по цене, более высокой, чем стоимость приобретения.

Сообщается, что финансовая компания работает в Лондоне, Гонконге и Дубае, однако телефон, указанный в письме, является автоответчиком в Сакраменто, штат Калифорния, США. На сайте компании заявлено, что она зарегистрирована в Кардиффе на Уейлсе.

Последним и окончательным свидетельством того, что это письмо – мошенничество, является его электронный адрес, на который предлагается дать ответ – это учетная запись на одном из бесплатных веб-порталов. Легитимная компания, безусловно, использовала бы электронный адрес в своем домене, не прибегая к бесплатному почтовому сервису. В дополнение к этому, адрес в поле «От кого» отличается от адреса, приведенного в тексте письма.

 

Исследователь заставил Kaspersky Endpoint Security записать DLL в System32

Независимый исследователь под псевдонимом Nightmare Eclipse опубликовал экспериментальный эксплойт HardBreacher для уязвимости в Kaspersky Endpoint Security. По его словам, неизвестная ранее брешь позволяет обычному пользователю обойти ограничения Windows и создать файл в защищённой директории C:\Windows\System32.

Эксплойт тестировался на полностью обновлённой Windows 11 25H2 с Kaspersky Endpoint Security 14.0.0.504.

При успешном запуске эксплойт создавал в System32 файл MY_SNAKE_IS_SOLID.dll, после чего предоставлял текущему непривилегированному пользователю полный доступ к нему. В нормальной ситуации стандартная учётная запись проделать такой трюк не может.

Предполагаемая проблема связана с взаимодействием защитного продукта и его интерфейсного процесса. Получив контроль над ним, исследователь смог влиять на операции с файлами и нарушать работу отдельных механизмов программы. Полные технические детали пока не раскрыты.

 

Сам автор признаёт, что HardBreacher работает нестабильно: запуски часто заканчиваются ошибкой, поэтому попытки приходится повторять. Стабильное выполнение произвольного кода с правами SYSTEM также не продемонстрировано.

Независимые специалисты пока не воспроизвели результат. Уязвимость не получила CVE, а «Лаборатория Касперского» публично не подтвердила проблему и не назвала возможные затронутые версии. Делать выводы обо всей линейке продуктов по одному испытанному выпуску рано.

Однако опубликованный код уже привлекает внимание. Ранее инструменты Nightmare Eclipse для обхода Microsoft Defender пытались применять в реальных атаках, хотя большинство попыток провалилось.

Update:

Официальный комментарий «Лаборатории Касперского»:

«"Лаборатория Касперского" устранила недостаток, обнаруженный с помощью экспериментальной утилиты HardBreacher. Обновление с необходимыми исправлениями выпущено и устанавливается автоматически — при необходимости пользователи также могут запустить его вручную».

RSS: Новости на портале Anti-Malware.ru