Документы Microsoft Office уже давно используются для установки вредоносных программ на компьютеры пользователей. Однако злоумышленники, похоже, теперь начали использовать их для установки прокси.
Microsoft обнаружили новую атаку, которая использует функционал OLE для загрузки вредоносного контента на компьютеры пользователей. Метод далеко не новый, Microsoft уже описывали его использование.
Как эксперты Microsoft Олден Порнасдоро (Alden Pornasdoro) и Винсент Тиу (Vincent Tiu), цель этой атаки состоит в том, чтобыизменить настройки прокси в браузере пользователя. Таким образом, злоумышленники смогут похитить учетные данные или другую конфиденциальную информацию.
На данный момент этот вредонос, написанный на JavaScript, детектируется как Trojan:JS/Certor.A и распространяется через email-письма с прикрепленными к ним вредоносными документами Office. Документы представляют собой файлы .docx, содержащие OLE-объект, что значит, что по двойному клику запустится скрипт. Вредонос пытается замаскироваться меняя иконку на что-то, что напоминает счет или квитанцию.
Вредоносный скрипт обфусцирован, чтобы скрыть код. Деобфускация показывает, что содержимым являются PowerShell-скрипты и собственный сертификат, используемый для мониторинга HTTPS-контента и трафика.
После двойного клика скрипт помещает несколько компонентов в папку %Temp% и затем запускает их. Файл cert.der используется в качестве сертификата для мониторинга трафика, в то время как файл ps.ps1 отвечает за обеспечение того, чтобы сертификат был установлен на зараженном устройстве.
Существует также файл psf.ps1, отвечающий за добавление сертификата в Firefox, так как этот браузер использует собственное хранилище сертификатов, отмечает Microsoft. Файл pstp.ps1 отвечает за установку Tor-клиента, планировщика задач и Proxifier. По-видимому, это тоже часть методики по настройке прокси браузера.
Затем, чтобы изменить настройки прокси в Internet Explorer, скрипт вносит изменения в ключ реестра HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings, устанавливая значение AutoConfigURL как http://pysvonjm6a7idbkz(.)onion/rejtyahf.js?ip=<host ip address>.
«Благодаря новой схеме злоумышленники могут перенаправлять пользователей на определенные сайты, которые вполне могут оказаться фишинговыми или рекламными. Таким образом, любая конфиденциальная информация пользователя, особенно учетные данные, могут попасть в руки злоумышленников» - говорят исследователи компании Microsoft.
Пользователям рекомендуется не открывать вложений, полученных с письмами из непроверенных источников. Администраторы могут изменить ключ реестра, чтобы OLE-объекты не выполнялись: HKCU\Software\Microsoft\Office\<Office Version>\<Office application>\Security\PackagerPrompt значение должно быть установлено на 2, это отключит выполнение OLE-объектов.
Процедура получения льгот, вводимых российским ретейлом для людей преклонного возраста, скоро упростится. Таким покупателям достаточно будет зайти в MAX и предъявить на кассе QR-код, сгенерированный на основе цифрового ID.
Сервис подтверждения статуса пенсионера через MAX уже запущен в пилотном режиме компанией X5.
В настоящее время нововведение доступно лишь москвичам — посетителям ряда «Перекрестков» и «Пятерочек», освоившим самообслуживание. В следующем месяце планируется распространить его на все торговые точки этих сетей.
«Каждый месяц в наши магазины приходят около 20 млн покупателей пенсионного возраста, — отметил Александр Костин, управляющий директор Х5 Tech. — Мы последовательно развиваем цифровые сервисы, которые делают покупки для клиентов любого возраста быстрее и удобнее, а процессы в магазинах — более эффективными».
Воспользоваться новой функцией несложно. На кассе самообслуживания нужно отсканировать товар, открыть раздел «Скидки пенсионерам и другие», выбрать из списка «Скидка пенсионерам» и поднести к считывателю смартфон с QR-кодом в профиле MAX (в мессенджере на такие случаи предусмотрена опция «Показать ID»).
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
