С новым пользовательским соглашением Microsoft распространяется троян

Специалисты в области информационной безопасности предупреждают о старте очередной спам-кампании на пользователей Microsoft. На сей раз для своей рассылки злоумышленники использовали легитимное сообщение, прикрепив к нему файл с трояном.

Согласно сообщению, на днях экспертами компании Sophos, была перехвачена серия сообщений, отравляемых по электронной почте, с заголовком: «Важные изменения в Соглашении на обслуживание Майкрософт (Microsoft Services Agreement, MSA)».

Перехваченное сообщение гласило:

«Мы обновили соглашение, которое распространяется на такие службы, как Microsoft Hotmail, Microsoft SkyDrive, учетную запись Майкрософт, Windows Live Messenger, Фотоальбом Microsoft, Киностудию Microsoft, Клиент почты Microsoft, Редактор блогов Microsoft (совместно именуемые "Фирменные службы Майкрософт"), Bing, MSN, Office.com, а также другое программное обеспечение, веб-сайты или услуги, которые регулируются условиями настоящего соглашения

…Пожалуйста, ознакомьтесь с новым документом, который прикреплен к данному сообщению».

В принципе, придраться не к чему: сообщение оригинальное. По сути то самое, что рассылалось пользователям из Редмонда в конце августа. Однако киберпреступники вместо оригинального документа прикрепляли к письму исполняемый файл, замаскированный под Microsoft-Services-Agreement.pdf.exe.

По словам специалистов, данный файл содержал троян Troj/Backdr-HG, который запускается при каждом старте операционной системы.

Во избежание инцидента, пользователям настоятельно рекомендуется более внимательно относится к прикрепленным файлам, в особенности к тем, которые имеют расширение *.exe.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Троян SapphireStealer прятался в клоне листовки ЦИК о выборах президента

Команда киберразведки из компании F.A.C.C.T. обнаружила модифицированную версию вредоносной программы SapphireStealer в PDF-файле якобы от Центральной избирательной комиссии (ЦИК) с информацией о прошедших выборах Президента России.

Программа SapphireStealer является классическим трояном, способным перехватывать и отправлять операторам данные жертв. В новой кампании вредонос крал учётные данные из браузеров и Telegram.

Для распространения SapphireStealer киберпреступники использовали фейковый веб-ресурс, замаскированный под сайт правительства России. В F.A.C.C.T. считают, что такой же трюк злоумышленники могут использовать в Единый день голосования, который пройдёт 8 сентября 2024 года.

В сущности, SapphireStealer стал первым инфостилером, которого авторы выдали за официальные документы ЦИК. Об этой вредоносной программе мы писали в сентябре 2023 года, тогда в Сети нашлись модифицированные образцы SapphireStealer, использовавшие для отправки данных API Discord и Telegram.

В более свежих атаках операторы задействовали для распространения домен, выдающий себя за государственный ресурс. Как выяснила F.A.C.C.T., исходный код трояна два года назад выложили в одном из телеграм-каналов и на форуме zelenka.guru.

 

Вредоносный домен govermentu[.]ru злоумышленники зарегистрировали 29 января 2024 года. На нём располагался исполняемый файл «О предоставлении информации о предстоящих выборах.exe», засветившийся на VirusTotal 15 марта.

В качестве отвлекающего фактора при выполнении экзешника тот демонстрировал жертве документ-приманку «О предоставлении информации о предстоящих выборах.pdf».

 

В системе зловред прописывается в автозагрузку через планировщик задач Windows и время от времени обращается в командному серверу. Каждый пользователь получается свой идентификатор на основе processorID (процессор) и SerialNumber (системная плата).

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru