Обнаружены атаки на основе «тибетских писем» с использованием Backdoor.Trojan

Обнаружены атаки на основе «тибетских писем» при помощи Backdoor.Trojan

Рассылка писем от именисвязанных с Тибетом организаций ведётся с серверов, расположенных на территории России. Заражение компьютера происходит при открытии инфицированного Word-документа, прикреплённого к письму. В ходе реализации атаки злоумышленники используют механизм, скрывающий от пользователей сам факт заражения компьютера. В результате злоумышленники смогут получать ценную информацию с заражённого компьютера и даже осуществлять удалённое управление им.

Используемые при атаке письма написаны по-английски и адресованы американской компании по производству одежды. Несмотря на то, что письма, на первый взгляд, отправлены с адресов организаций, связанных с Тибетом, изучение технических заголовков писем показало, что письма отправлены с почтового сервера на территории Российской Федерации.

Недавно мы обнаружили файл, отличающийся от других вирусных программ тем, что в качестве вектора проведения атаки используется программа известного производителя видеокарт,обладающая цифровой подписью.

Для заражения достаточно открыть вложенный в сообщение инфицированный файл, обеспечивающий эксплуатацию уязвимости CVE-2012-0158, и в случае успеха на компьютер попадают три файла:“NvSmart.exe”, “NvSmartMax.dll” и “boot.ldr”, первый из которых обладает цифровой подписью. Приступая к анализу, специалисты Symantec предположили, что этот файл представляет собой вирус, подписанный украденной цифровой подписью. Однако в ходе дальнейшего анализа выяснилось, что этот файлподлинный.

Обычно, при запуске “NvSmart.exe” происходит подгрузка в память “NvSmartMax.dll” из внешней библиотеки. Однако в данном случае подгружается фальшивая “NvSmartMax.dll”, которая в свою очередь запускает выполнение файла boot.ldr, содержащего вредоносный код.

В прошлом вредоносные программы обычно подменяли подлинный файл на фальшивый, который загружался при старте ОС. Но подмену файла достаточно легко обнаружить. А в данном случае появляется новый легитимный файл известного производителя, и при установке его в систему в реестре для него создаётся соответствующая запись. В результате при старте компьютера запускается корректно установленная программа, обладающая цифровой подписью. И уже она запускает на исполнение подменённый файл “NvSmartMax.dll”, который в свою очередь запускает на исполнение файл boot.ldr, содержащий вредоносный код. При этом фальшивые файлыне регистрируются в качестве служб и не добавляются в реестр, поэтому большинство пользователей не замечают, что при запуске машины выполняется вредоносная программа. Создатели вирусов ищут все новые способы предотвратить обнаружение своих созданий.

Продукты Symantec определяют “NvSmartMax.dll”и “boot.ldr” в качестве вирусов семейства Backdoor.Trojan. Вредоносные программы такого рода обычно занимаются перехватом информации, отправкой её «хозяину» и даже предоставляют возможность удалённого управления компьютером.

Данный метод загрузки вредоносных программ не ограничивается одной лишь программой “NvSmart.exe”, и мы ожидаем применение этой тактики в будущих атаках с использованием и других легитимных файлов.

Компания Symantec продолжает отслеживать появление новых угроз и методов, разрабатываемых злоумышленниками. Специалисты рекомендуют пользователям воздержаться от запуска подозрительных программ, а также не забывать своевременноустанавливать все обновления безопасности для операционных систем и антивирусного программного обеспечения.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Базис запланировал IPO на конец года

Разработчик программного обеспечения для управления ИТ-инфраструктурой «Базис» готовится к выходу на биржу и планирует провести IPO до конца 2025 года. По данным источников, близких к компании, «Базис» рассчитывает привлечь порядка 5 млрд рублей инвестиций. Это решение позволит компании расширить возможности для развития и укрепить позиции на рынке, где растет интерес к ИТ-сегменту и цифровым сервисам.

О планах на проведение IPO сообщило РБК со ссылкой на свои источники. Генеральный директор «Базиса» Давид Мартиросов отметил, что выход на публичный рынок — один из способов привлечения капитала, но конкретные сроки и детали раскрывать не стал.

Компания «РТК ЦОД», дочерняя структура которой владеет «Базисом», также находится в высокой степени готовности к IPO. Ещё в июле генеральный директор «РТК ЦОД» Сергей Бочкарев говорил, что компания была полностью готова к размещению ещё в 2024 году, но планы были отложены из-за повышения ключевой ставки. По его словам, при благоприятной конъюнктуре IPO может пройти в течение трёх месяцев.

Старший аналитик Альфа-банка Анна Курбатова назвала сумму в 5 млрд рублей, которую «Базис» планирует привлечь, реалистичной и подчеркнула, что компания уже доросла до выхода на биржу. По её мнению, момент для размещения удачный: рынок ожидает смягчения денежно-кредитной политики ЦБ и роста интереса инвесторов к акциям.

По оценке эксперта, бумаги «Базиса» могут быть интересны как институциональным, так и частным инвесторам, но многое будет зависеть от того, сможет ли компания доказать, что замедление спроса на ИТ-услуги не повлияло на её бизнес.

Инвестиционный стратег УК «Арикапитал» Сергей Суверов отметил, что у «Базиса» сильные позиции: достаточный собственный капитал, отсутствие долговой нагрузки и поддержка со стороны материнской компании. По его словам, привлечённые средства логично направить на масштабирование бизнеса или сделки M&A, однако оценивать стоимость компании он отказался, отметив, что это станет возможно ближе к IPO.

Руководитель отдела по работе с состоятельными клиентами «Альфа-Капитала» Александр Абрамян считает высоко вероятным, что «Базис» сможет привлечь запланированный объём средств. Среди преимуществ компании он выделил независимость от зарубежных ИТ-решений, включая продукты с открытым кодом.

Аналитик отдела анализа акций «Финам» Никита Степанов также ожидает, что смягчение денежно-кредитной политики поможет как «Базису», так и ИТ-сектору в целом. По его прогнозу, период спада в отрасли близок к завершению, а капитализация российских ИТ-компаний в ближайшие годы может расти двузначными темпами.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru