BlackHole exploit kit и псевдослучайная генерация доменных имён

BlackHole exploit kit и псевдослучайная генерация доменных имён

 Специалистам компании Sophos удалось "разгадать" схему работы одного из скриптов, используемых в наборе эксплойтов BlackHole для перенаправления траффика на сайты, контролируемые злоумышленниками. По словам представителей Sophos, уникальность данного скрипта в том, что он способен атаковать большое количество сайтов одновременно, а после внедрения в JavaScript сайта, генерирует случайную строку, содержимое которой затем добавляется к доменному имени сайта.

Исследования показали, что встроенный скрипт обфусцируется, внедряясь в легитимные библиотеки JavaScript, установленные на инфицируемых сайтах. Также в ходе исследований обнаружилось, что одной из причин заражения может стать уязвимость в программном обеспечении для администрирования серверов. В частности, сообщается, что уязвимость, ставшая причиной заражения, найдена в программном пакете Plesk.

 

Проведя деобфускацию заражённого JavaScript(а) (простейший процесс, выполняемый стандартными методами), специалисты Sophos обнаружили, что для перенаправления используется iframe-редирект. Однако их особенно заинтересовал тот факт, что для генерации случайной строки используется простейший алгоритм с привязкой к дате.

 

Вредоносный скрипт генерирует случайную строку с привязкой к текущей дате, изменяя её каждые 12 часов.

 Тэг <iframe>, добавляемый вредоносным скриптом на страницу заражённого сайта, перенаправляет браузер пользователя, попавшего на такой сайт, на TDS сервер, контролируемый злоумышленниками. Ранее скрипт часто генерировал случайную строку, содержащую запись вида: 'Runforestrun'.

 

Новейшие модификации скрипта генерируют псевдослучайные строки разного цвета и с различным текстовым наполнением. К тому же замечено, что они научились использовать динамические системы доменных имен (приём который Blackhole применяет весьма активно).

 

Попадая на заражённый сайт, пользователь перенаправляется на сайт контролируемый злоумышленниками, где с помощью обычных эксплойтов, использующих уязвимости Java, Flash PDF и т.д., и происходит заражение компьютера.

 

Эксперты Sophos отметили ещё одну особенность описываемого вредоносного скрипта: Как показали исследования, компьютеры пользователей, попадающих на заражённый сайт, поражают абсолютно разные вредоносные програмы, начиная с бэкдоров и троянцев семейства Trojan-Spy.Win32.Zbot и заканчивая программами требующими выкуп (программа блокирует инфицированный комьютер и выдаёт сообщения с требованием заплатить злоумышленникам за его разблокировку).

По словам представителей Sophos, впервые вышеописанный вредоносный скрипт был обнаружен в начале июня текущего года, в ходе анализа интернет сайтов инфицированных вредоносной программой Mal/Iframe-AF.

 

В Госдуму внесли второй пакет мер против телефонного мошенничества

Правительство внесло в Госдуму второй пакет законопроектов, направленных на противодействие телефонному и дистанционному мошенничеству. Он включает около 20 различных мер. Руководство нижней палаты пообещало рассмотреть инициативу в приоритетном порядке. Подготовка второго антимошеннического пакета началась в марте 2025 года — практически сразу после внесения в Госдуму первого.

Как указано в пояснительной записке, цель инициативы — «комплексное совершенствование мер противодействия преступлениям, совершаемым с использованием информационно-коммуникационных технологий».

Пакет законопроектов был внесен в Госдуму в пятницу вечером.

Среди мер, вошедших во второй пакет, первый вице-премьер Дмитрий Григоренко особо выделил следующие инициативы:

  • Введение самозапрета на входящие вызовы из-за рубежа.
  • Обязательная маркировка операторами связи звонков с иностранных номеров.
  • Ограничения на работу виртуальных АТС: их размещение только на территории России и обязательное использование Единой системы аутентификации и идентификации абонентов.
  • Внедрение системы учета IP-адресов.
  • Обязанность операторов связи передавать выявленные номера мошенников в государственную информационную систему «Антифрод».
  • Ограничение количества виртуальных сим-карт — не более 10 на одного абонента.
  • Ограничение количества банковских карт — до 20 на одного человека и не более 5 в одном банке.
  • Введение детских сим-карт с ограниченным набором сервисов.
  • Упрощение процедуры внесудебной блокировки фишинговых ресурсов (в настоящее время таким правом наделен только Банк России).
  • Изменение порядка восстановления доступа к порталу «Госуслуги»: воспользоваться можно будет только доверенными способами — через биометрическую идентификацию, мессенджер Max или при личном обращении в МФЦ.

Как заявил председатель Госдумы Вячеслав Володин 27 декабря, законопроект будет рассмотрен нижней палатой в приоритетном порядке. Его обсуждение запланировано на 12 января — первую пленарную сессию после новогодних каникул.

RSS: Новости на портале Anti-Malware.ru