Обнаружен способ переноса зловредного кода в PNG-изображениях

Обнаружен способ переноса зловредного кода в PNG-изображениях

Эксперт «Лаборатории Касперского» сообщил об обнаружении достаточно интересного способа переноса и активации вредоносного программного с использованием PNG-файла в качестве контейнера. При открытии этого файла появляется изображение, которое призывает пользователя открыть файл в MS Paintе и пересохранить его в формате HTA. Такое действие является подозрительным, поскольку формат HTA отличается от HTML тем, что он работает в контексте отдельного приложения.

Исходный файл картинки упакован алгоритмом deflate, в результате распаковки был получено неупакованное BMP-изображение. Однако кроме изображения в этом файле сразу за BMP-заголовком располагается скрипт, написанный на JavaScript. Таким образом, пересохранив файл в HTA и открыв его, пользователь фактически запустит этот скрипт.

Сам скрипт обладает крайне любопытным функционалом. Вначале он прописывается в автозагрузку, а затем обращается к разделу "random" популярного портала 4chan.org, выдёргивая из тем произвольные фразы. Далее с помощью встроенного EXE-файла происходит генерация новой картинки, в которой, помимо предложения о пересохранении в HTA, используются взятые с 4chan.org слова. Самым последним этапом является публикация полученного изображения в ту же самую ветку форума, из которой извлекались случайные слова.

В этом скрипте используется оригинальный способ для обхода CAPTCHA. Он базируется на использовании популярных английский слов и сервиса RECAPTCHA от Google. По сути, никакой истинно вредоносной нагрузки для пользователя этот зловред не несёт, но сам факт распространения и внесения изменений в систему не является легальным. Очень интересным оказался механизм переноса скрипта в запакованной PNG-картинке. Совершенно непонятно, какую цель преследовали разработчики данной поделки. Возможно, им хотелось продемонстрировать возможный способ скрытого переноса вредоносного кода.

Источник

В России обнаружили инфраструктуру для фишинговых атак на бизнес

В России выявили сеть доменов, замаскированных под программы поддержки бизнеса на фоне предстоящего повышения НДС в 2026 году. В названиях таких сайтов используются формулировки вроде b2b-gospodderzka, clients-gospodderzka, gospodderzka, mail-gospodderzka и pochta-gospodderzka.

О существовании сети мошеннических доменов сообщило агентство РИА Новости со ссылкой на данные компании «Кросс технолоджис».

По оценке специалистов, основная цель злоумышленников — получить доступ к банковским счетам компаний, а также к учётным данным сотрудников руководства, бухгалтерии и финансовых подразделений. Для этого мошенники планируют связываться с представителями бизнеса, преимущественно малого и среднего, выдавая себя за сотрудников различных государственных структур.

В качестве повода для общения используются вопросы, связанные с переходным периодом при повышении НДС, а также с якобы доступными программами господдержки или компенсациями. Чтобы заставить жертву перейти по фишинговой ссылке, злоумышленники ссылаются на необходимость проверки данных, авторизации в сервисе или привязки банковского счёта.

«Любые меры поддержки следует проверять исключительно через официальные сайты ведомств и банков. Любые “переходные выплаты” по НДС по умолчанию стоит считать подозрительными. 2026 год обещает быть непростым — мошенники традиционно адаптируются к налоговым и регуляторным изменениям быстрее всех», — отметил руководитель сервиса Smart Business Alert (SBA) компании «Кросс технолоджис» Сергей Трухачев.

Согласно данным исследования edna, опубликованного в начале июля 2025 года, от действий мошенников пострадали 25% российских компаний. Ещё 18% организаций столкнулись с ростом операционных расходов из-за необходимости внедрения дополнительных мер контроля и противодействия преступным схемам.

RSS: Новости на портале Anti-Malware.ru