Обнаружен первый SMS-червь

Обнаружен первый SMS-червь

Компания F-Secure в своем квартальном отчете о вопросах безопасности IT Security Threat Summary, сообщает об обнаружении «первого SMS-червя», заражающего сотовые телефоны. По словам специалистов F-Secure, 2009 год станет памятным не только благодаря вирусу Conficker (Downadup), но также появлению Sexy View, червя, созданного специально для смартфонов.

Sexy View, как и Facebook-вирус Koobface, - «социальный червь», использующий для своего распространения контактные данные в смартфоне пользователя. Вирус рассылает пользователям из контактного списка SMS с предложением зайти и оценить интересные фотографии и ссылкой на веб-сайт. Ничего не подозревающий адресат (сообщение поступает от знакомого ему человека) проходит на предлагаемый сайт, где ему предлагается установить специфическое приложение для просмотра изображений. Давая согласие на установку, пользователь пополняет собой список жертв вредоносной программы и предоставляет собственный список контактов в распоряжение опасного червя. Sexy View также отправляет сведения обо всех зараженных сотовых телефонах своему владельцу, который может воспользоваться собранной информацией для рассылки SMS-спама.

«Sexy View заслуживает пристального внимания по целому ряду причин, - заявляет Микко Хиппонен, глава исследовательского отдела F-Secure, – Во-первых, ранее мы не сталкивались с подобным способом распространения опасных программ. Во-вторых, это единственный на сегодняшний день мобильный червь, способный обойти механизмы проверки сигнатур, которыми комплектуются все новые модели смартфонов. Наконец, своевременная разработка эффективных защитных мер обеспечит производителям ПО преимущество в борьбе с мобильным спамом, который на данный момент представляет собой весьма серьезную проблему в некоторых странах мира». 

Источник

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Шифровальщик LockBit все еще жив и обрел загрузчик, позволяющий обойти EDR

Проведенный в Flashpoint анализ LockBit 5.0 подтвердил, что новая версия зловреда построена на базе v4.0. Шифровальщик также стал еще более скрытным из-за использования кастомного загрузчика и обрел деструктивные функции.

С выпуском LockBit 5.0 его развертывание стало осуществляться в два этапа: вначале загружается самостоятельный лоадер, обеспечивающий обход EDR, а затем — основной пейлоад, не утративший прежних функций.

Шифровальщик по-прежнему откатывает исполнение на машинах жителей стран СНГ, но стал обходить стороной также Филиппины. Записка с требованием выкупа (ReadMeForDecrypt.txt) содержит привычный текст, сохранилась даже опечатка в англоязычном слове «информация» — «inforTmation».

 

Для обхода EDR новый загрузчик LockBit использует технику process hollowing (для внедрения вредоноса в экземпляр defrag.exe), отвязку библиотек (повторно загружает с диска чистые NTDLL и Kernel32, перезаписывая в памяти хуки защитных решений), патчинг трассировки событий Windows, а также скрывает расширения файлов.

Изолированный от основного пейлоада зловред умеет распознавать вызовы API по хешам, перенаправлять поток исполнения на разрешенные вызовы API, динамически рассчитывать адреса перехода для обфускации потока управления.

Обновленный LockBit научился обрабатывать данные на локальных и сетевых дисках, в папках по выбору оператора, а также работать в многопоточном режиме с использованием XChaCha20.

Опциональные деструктивные функции позволяют зловреду шифровать файлы незаметно для жертвы — не меняя расширений и без вывода записки с требованием выкупа.

Результаты анализа показали, что грозный шифровальщик все еще актуален как угроза и даже продолжает развиваться — невзирая на попытки ликвидации инфраструктуры LockBit, взлом сайта RaaS (Ransomware-as-a-Service, вымогательский софт как услуга) и слив переписки в рамках LockBit-партнерки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru