Microsoft: Вредоносные документы Office устанавливают прокси

Microsoft: Вредоносные документы Office устанавливают прокси

Microsoft: Вредоносные документы Office устанавливают прокси

Документы Microsoft Office уже давно используются для установки вредоносных программ на компьютеры пользователей. Однако злоумышленники, похоже, теперь начали использовать их для установки прокси.

Microsoft обнаружили новую атаку, которая использует функционал OLE для загрузки вредоносного контента на компьютеры пользователей. Метод далеко не новый, Microsoft уже описывали его использование.

Как объясняют эксперты Microsoft Олден Порнасдоро (Alden Pornasdoro) и Винсент Тиу (Vincent Tiu), цель этой атаки состоит в том, чтобыизменить настройки прокси в браузере пользователя. Таким образом, злоумышленники смогут похитить учетные данные или другую конфиденциальную информацию.

На данный момент этот вредонос, написанный на JavaScript, детектируется как Trojan:JS/Certor.A и распространяется через email-письма с прикрепленными к ним вредоносными документами Office. Документы представляют собой файлы .docx, содержащие OLE-объект, что значит, что по двойному клику запустится скрипт. Вредонос пытается замаскироваться меняя иконку на что-то, что напоминает счет или квитанцию.

Вредоносный скрипт обфусцирован, чтобы скрыть код. Деобфускация показывает, что содержимым являются PowerShell-скрипты и собственный сертификат, используемый для мониторинга HTTPS-контента и трафика.

После двойного клика скрипт помещает несколько компонентов в папку %Temp% и затем запускает их. Файл cert.der используется в качестве сертификата для мониторинга трафика, в то время как файл ps.ps1 отвечает за обеспечение того, чтобы сертификат был установлен на зараженном устройстве.

Существует также файл psf.ps1, отвечающий за добавление сертификата в Firefox, так как этот браузер использует собственное хранилище сертификатов, отмечает Microsoft. Файл pstp.ps1 отвечает за установку Tor-клиента, планировщика задач и Proxifier. По-видимому, это тоже часть методики по настройке прокси браузера.

Затем, чтобы изменить настройки прокси в Internet Explorer, скрипт вносит изменения в ключ реестра HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings, устанавливая значение AutoConfigURL как http://pysvonjm6a7idbkz(.)onion/rejtyahf.js?ip=<host ip address>.

«Благодаря новой схеме злоумышленники могут перенаправлять пользователей на определенные сайты, которые вполне могут оказаться фишинговыми или рекламными. Таким образом, любая конфиденциальная информация пользователя, особенно учетные данные, могут попасть в руки злоумышленников» - говорят исследователи компании Microsoft.

Пользователям рекомендуется не открывать вложений, полученных с письмами из непроверенных источников. Администраторы могут изменить ключ реестра, чтобы OLE-объекты не выполнялись: HKCU\Software\Microsoft\Office\<Office Version>\<Office application>\Security\PackagerPrompt значение должно быть установлено на 2, это отключит выполнение OLE-объектов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Обновление Windows 11 снова доступно для игроков с Easy Anti-Cheat

У Microsoft наконец-то дошли руки до игроков, которых раздражал синий экран смерти при попытке обновиться до Windows 11 версии 24H2. Всё дело было в конфликте с Easy Anti-Cheat — популярной системой античита, которая используется во множестве онлайн-игр вроде Apex Legends, Rust, Fortnite и даже ELDEN RING.

Проблема всплыла в июне: при запуске некоторых игр Windows просто внезапно перезагружалась или выбрасывала BSOD с ошибками, связанными с ntoskrnl.exe или EasyAntiCheat_EOS.exe. Тогда Microsoft даже выпустила срочное обновление (KB5063060), чтобы хоть как-то приглушить панику среди геймеров.

И вот — хорошая новость: 24 июля компания официально сняла ограничение, не дававшее установить новое обновление Windows на устройства с Easy Anti-Cheat. Теперь, если у вас не стоит других блокировок, можно спокойно обновляться через Windows Update.

Хотя есть нюанс: некоторые компьютеры всё ещё могут показывать предупреждение о несовместимой версии Easy Anti-Cheat. Но, по словам Microsoft, если запустить и обновить одну из часто используемых игр, античит подтянет нужную версию сам.

Важно: BSOD больше не будет даже при наличии старой версии античита — если только вы не запускаете с ним игру.

Вообще, это не первая такая история. Ранее Microsoft уже блокировала обновления для некоторых моделей с Intel Alder Lake+ и vPro из-за сбоев в игре Asphalt 8 и тех же синих экранов. А ещё проблемы были у пользователей AutoCAD и Safe Exam Browser — но и эти блокировки уже сняты.

Если вы всё ещё сидите на старой версии Windows 11 из-за «проблем с играми» — самое время проверить обновления.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru