Обнаружен способ которым Flame осуществляет инъекцию кода в Windows

Обнаружен способ которым Flame осуществляет инъекцию кода в Windows

Исследователи продолжают восхищаться сложностью трояна Flame (Flamer, Skywiper). Прошло несколько месяцев с момента его обнаружения, но анализ кода продолжается до сих пор. Очередную порцию аналитики вчера опубликовала польская компания CERT Polska, их отчёт посвящён методам внедрения кода Flame в процессы Windows.

Исследователи отмечают, что инъекция кода в процессы и треды считается традиционной техникой работы вирусов, но Flame — это особый случай, потому что здесь данный метод доведён до совершенства. Перенос кода между процессами происходит на протяжении всего цикла жизнедеятельности трояна, начиная от инсталляции, и заканчивая самоуничтожением. «Flame использует эту технику для переноса и копирования своих элементов в разные части операционной системы жертвы с потрясающей ловкостью», — пишут исследователи.

 

Они рассказывают, как после заражения через эксплойт уязвимости MS10-061 код Flame запускается программой rundll32.exe, после чего внедряется в services.exe, а оттуда — в разные компоненты Windows, в том числе в процесс explorer.exe. В дальнейшем фрагменты кода из разных процессов начинают синхронизировать свои действия: код в explorer.exe ждёт команды от services.exe, после чего создаёт процесс iexplore.exe. В дальнейшем коммуникация между services.exe и iexplore.exe продолжается через именованный канал, причём его имя может генерироваться из случайных символов и отличаться между разными инсталляциями. Тред из services.exe записывает указания в именованный канал, а процесс iexplore.exe получает и исполняет их, пишет xakep.ru.

Все эти сложности с коммуникациями между тремя процессами необходимы для того, чтобы затруднить обнаружение трояна. Если explorer.exe пытается выйти в интернет (например, как это сделано в SpyEye), то это неизбежно вызовет подозрение у файрвола и антивирусной программы. В модульной системе Flame в интернет выходит только процесс iexplorer.exe, что не вызывает никаких подозрений. Запуск iexplorer.exe через explorer.exe тоже является естественной процедурой, ведь пользователи Windows именно так запускают браузер. Вот почему Flame использует explorer.exe в качестве прокси.

 

Ведомства не спешат уходить в MAX полностью

Не все государственные ведомства и их региональные подразделения спешат полностью переносить свою онлайн-активность в мессенджер MAX. Более того, есть примеры, когда после официального объявления о «переезде» некоторые из них снова возобновляли работу телеграм-каналов.

На эту тенденцию обратили внимание «Ведомости». Корреспонденты издания выяснили, что ряд территориальных подразделений МЧС — в частности, по Дагестану, Оренбургской и Свердловской областям — вернулись в Telegram, несмотря на ранее заявленный полный перенос коммуникаций в MAX.

Центральный аппарат МЧС при этом также продолжал публиковать новости в Telegram, но в усечённом формате «заголовок + лид». Полные версии сообщений ведомство размещало уже в MAX.

«В настоящее время на постоянной основе переход в национальный мессенджер организован территориальными органами МЧС России во всех федеральных округах. Территориальными подразделениями МЧС России продолжается ведение телеграм-каналов. В частности, посредством него подписчиков приглашают присоединиться к каналу в национальном мессенджере MAX», — сообщили в пресс-службе МЧС в ответ на запрос издания.

По оценке «Ведомостей», большинство федеральных и региональных ведомств сейчас ведут каналы параллельно — и в MAX, и в Telegram. Единственным исключением стал губернатор Самарской области Вячеслав Федорищев, который удалил свой телеграм-канал в сентябре 2025 года. Поводом стали последствия его попытки вмешаться в конфликт между певцом Егором Кридом и главой Лиги безопасного интернета Екатериной Мизулиной.

Заместитель генерального директора АНО «Диалог регионы» Андрей Цепелев назвал такую практику вполне обычной. По его словам, параллельное присутствие в нескольких мессенджерах позволяет охватить более широкую аудиторию, что особенно важно для экстренных служб. «MAX в сегменте госпабликов растёт очень быстро. Мы видим около 100 000 каналов с общим числом подписчиков порядка 9 млн», — отметил он.

При этом есть и примеры, когда каналы региональных властей в MAX оказываются более популярными, чем в Telegram. В качестве таких кейсов «Ведомости» приводят паблик Управления образования Пятигорска и канал МФЦ Сальского района Ростовской области.

Как показало наше исследование, мессенджер MAX в целом не сильно отличается от аналогов с точки зрения сбора личных данных и запрашиваемых разрешений. При этом в сервисе случаются технические сбои, а также проявляют активность различные мошенники.

Напомним также, что недавняя история о «полном взломе» национального мессенджера MAX оказалась фейком. Распространившуюся в Telegram информацию в самой платформе назвали недостоверной и не имеющей отношения к действительности.

RSS: Новости на портале Anti-Malware.ru