Новый троян распространяют через Microsoft Word

Троян Vawtrak распространяется через макросы Microsoft Word

Специалисты компании Trend Micro вышли на след хакерской группы, распространяющей банковский троян Vawtrak. ПО инфицирует компьютеры в несколько этапов. Для этого используются документы Microsoft Word с зараженными макросами. В список целей злоумышленников входят банки J.P. Morgan, Bank of America, Lloyd’s Bank, HSBC, Citibank и Barclays.

Хакеры используют несколько техник для маскировки нападения. В первой в документ Microsoft Word добавляется якобы зашифрованная информация, которая расшифровывается только после активации макросов. Вторая заключается в распространении VBScript-файла с обходом ограничений по выполнению задач. Скрипты с обходом могут выполнять файлы без ограничений и подозрений.

Письма с вредоносными файлами отправляют от лица таких сервисов, как FedEx и уведомляют пользователей о получении посылок. Злоумышленники также маскируются под компанию American Airlines и рассылают сообщения о покупке билетов с помощью платёжных карт. Во всех случаях к письмам крепится документ Microsoft Word, который якобы предоставляет больше информации о содержимом сообщения. Когда жертва открывает документ, ей сразу предлагают включить макрос.

Данная функция отключена в софте по умолчанию ведь компонент часто эксплуатируют хакеры. Пользователи, которым нужны макросы для автоматической работы, способны активировать их вручную. В случае с кампанией по распространению Vawtrak макрос содержит команды по скачиванию пакетного, PowerShell и VBS файлов. Пакетный документ запускает VBS, а тот – PowerShell. Последний и загружает троян на систему.

Трёхступенчатая техника заражения используется, чтобы процесс не заметили системы безопасности ПК. В Trend Micro утверждают, что данный вариант Vawtrak считывает логин сведения почтового клиента Microsoft Outlook. Вредоносный софт также интересует информация, которая хранится в браузерах Mozilla Firefox и Google Chrome, FTP клиентах. Анализ трояна показал, что он способен подключатся к веб-браузерам и обходить механизм SSL.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В Польше задержали россиянина по делу о взломе ИТ-систем компаний

В Польше задержали гражданина России по подозрению во взломе ИТ-инфраструктуры польских предприятий. Как сообщает Центральное бюро по борьбе с киберпреступностью, операция прошла 16 ноября в Кракове по поручению окружной прокуратуры.

По данным следствия, мужчина незаконно пересёк польскую границу ещё в 2022 году, а спустя год получил статус беженца.

Правоохранители считают, что он мог получить несанкционированный доступ к системе интернет-магазина, вмешиваться в базы данных и менять их структуру.

Эти действия, по версии прокуратуры, могли поставить под угрозу работу компаний и безопасность клиентов.

Суд отправил задержанного под трёхмесячный арест. Сейчас проверяется его возможная связь с другими кибератаками — как на территории Польши, так и в странах Европейского союза.

Напомним, на днях Мещанский суд Москвы заключил под стражу 21-летнего предпринимателя из Томска Тимура Килина, обвиняемого по статье о госизмене. Как следует из данных судебной картотеки, решение принято по ходатайству следствия, а защита пока не оспорила меру пресечения.

Суд не раскрывает никаких деталей дела: материалы полностью засекречены, как и содержание заседаний, что стандартно для процессов по ст. 275 УК РФ.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru