Шифровальщик Locky возвращается к использованию макросов в DOCM-файлах

Шифровальщик Locky возвращается к использованию макросов в DOCM-файлах

Шифровальщик Locky возвращается к использованию макросов в DOCM-файлах

Вымогатель Locky вернулся к своему первоначальному методу распространения, а именно к использованию офисных документов с вредоносными макросами, предупреждают исследователи FireEye.

Замеченный впервые в феврале, Locky встал особняком, потому что он может шифровать неотображённые сетевые ресурсы, к тому же, он был связан с ботнетом Dridex. Обе угрозы используют макросы для распространения и  получали одни и те же обновления функционала.

Распространясь через ботнеты Dridex и Necurs, Locky быстро стал одной из основных угроз. Был опробован новый метод распространения через вложения JavaScript. А совсем недавно этот шифровальщик для заражения стал использовать скрипты Windows (WSF).

По мнению исследователей FireEye Labs, вымогатель опять начал использовать вредоносные макросы, ориентируюсь как на частные лица, так и на организации. Были затронуты организации в сфере здравоохранения, телекоммуникаций и транспорта.

Спам-кампании поражают цели по всему миру, хотя Соединенные Штаты, Япония и Корея являются главными пострадавшими. Таиланд, Сингапур, Германия, Гонконг, Малайзия, Тайвань и Саудовская Аравия входят в десятку самых атакуемых стран.

Вредоносные документы представляют собой DOCM-файлы, которые после запуска устанавливают вымогатель на компьютер жертвы. Киберпреступники часто прячут вредоносные программы внутри DOCM-документов, затем переименовывая их в DOCX, так как этот формат не поддерживает макросы. Тем не менее, Office распознает эти файлы как DOCM и запускает их вместе с макросами.

Исследователи FireEye заметили, что злоумышленники вернулись к методу с макросами в начале августа, и это привело к увеличению инфицирования Locky. Три массовые кампании были замечены 9 августа, 11 августа и 15 августа.

Эти кампании имеют сходство в использовании макро-кода - "одноразовый" код для загрузки Locky с сервера, вредоносный URL встроенный в макро-код кодируется с помощью той же функции, но с различными ключами для каждой кампании.

«Инструменты и методы, используемые в кампаниях по распространению Locky постоянно меняются. В данном случае мы наблюдаем переход от использования загрузчика на основе JavaScript к использованию макросов в DOCM. Кроме того, тенденции показали, что злоумышленники предпочитают распространять вымогатели, нежели чем банковские трояны, так как это более прибыльно», - говорят исследователи FireEye.

В рунете по суду забанили два сервиса по подделке документов для налоговой

Московский суд удовлетворил ходатайство прокуратуры о признании запрещенной информации о возможности получения налоговых вычетов по НДС путем подделки документов и счел это основанием для блокировки сайтов.

Иск был подан по результатам прокурорской проверки, которая показала, что предлагаемые владельцами двух сайтов услуги по «налоговой оптимизации» на самом деле сводятся к созданию фальшивок, удостоверяющих право плательщика НДС на вычет.

Согласно материалам дела, с которыми ознакомилось РИА Новости, создаваемые по заказу документы содержат сведения об «искусственных, не совершенных реально хозяйственных операциях, что влечет неуплату налогов и причинение ущерба бюджету РФ в значительном размере».

Как оказалось, доменные имена обоих сайтов, попавших в поле зрения регулятора, были зарегистрированы за рубежом — на Виргинских островах и в Ирландии.

Суд признал, что распространение в Сети данных о средствах и способах совершения налоговых правонарушений / преступлений недопустимо. Выявленные нарушители будут внесены в единый реестр ресурсов с запрещенной информацией, который ведет Роскомнадзор.

В 2025 году с подачи РКН соцсети и мессенджеры удалили 1289 тыс. единиц запрещенного контента — против 810,5 тыс. в 2024-м. По числу блокировок лидировала категория наркотиков, по темпам прироста — средства обхода регуляторных ограничений.

RSS: Новости на портале Anti-Malware.ru