Обнаружен вредоносный JavaScript, использующий агрессивные методы

Обнаружен вредоносный JavaScript, использующий агрессивные методы

Обнаружен вредоносный JavaScript, использующий агрессивные методы

Исследователи безопасности обнаружили вредоносный сценарий, который использует агрессивную тактику, чтобы завладеть браузером и помешать пользователям удалить себя из системы. 

Несмотря на то, что угроза не представляет собой что-то новое, исследователи из Kahu Security говорят, что настолько агрессивной тактики они раньше не встречали. Более того, автор настолько обфусцировал скрипт, что это создает серьезную проблему при его анализе специалистами.

Вредоносный скрипт содержит многочисленные переменные и функции, но в нем отсутствуют пробелы, переводы строки и табуляция, что очень затрудняет его анализ. Кроме того, JavaScript содержит закодированные символы поиска регулярных выражений поиска/замены, необычные преобразования базы, а также условные операторы в попытке скрыть его умысел.

Для того, чтобы закрепиться на зараженной машине, скрипт делает копию wscript.exe, а затем переименовывает его, присваивая случайное имя и сохраняет его в новую папку в AppData\Roaming. Вредонос также создает свою копию и использует копию wscript.exe для запуска сценария.

Эксперты также отмечают, что скрипт использует определенные ключи реестра, чтобы скрыть папку, а затем создает ярлык в папке автозагрузки. Таким образом, скрипт будет запускаться при каждом старте системы.

Кроме того, скрипт проверяет, может ли он получить доступ к Microsoft, Google и Bing, а затем отправляет данные о зараженном компьютере на urchintelemetry[.]com и загружает зашифрованный файл из 95.153.31[.]22. Этот файл представляет собой скрипт, предназначенный для изменения начальной страницы в Internet Explorer, Firefox и Chrome на login.hhtxnet[.]com.

При запуске браузера, пользователь перенаправляется на portalne[.]ws. Исследователи также говорят о том, что командный центр вредоноса выглядит нефункционирующим, однако, если отправлен определенный правильный POST, командный центр ответит.

Зловред также использует инструментарий управления Windows, чтобы защитить себя от различных антивирусных программ. Таким образом, если скрипт видит процессы определенных программ, он завершает их необычным способом – отображая сообщение, которое призвано заставить пользователей думать, что программа не работает.

Если пользователь завершает процесс WScript, связанный с вредоносом, компьютер сразу же выключается. Для того, чтобы все-таки удалить зловред, нужно перезагрузить компьютер в безопасном режиме, либо войти в другую учетную запись и удалить ссылку запуска в папке roaming. Исследователям безопасности рекомендуется переименовывать свои процессы во что-нибудь безобидное, если они хотят заняться анализом этого вредоноса.

SOC, NGFW и приказ ФСТЭК №117: главные темы конференции «ВАТЕРЛИНИЯ»

В Москве прошла ежегодная конференция «ВАТЕРЛИНИЯ», организованная компанией «Информзащита». В центре внимания оказались вопросы киберустойчивости, защиты критически важных процессов и подходы, которые помогают компаниям сохранять работоспособность даже в условиях растущего числа киберугроз.

В деловой программе обсуждали не столько отдельные средства защиты, сколько их совместную работу.

Эксперты говорили о безопасной разработке, мониторинге инцидентов, автоматизации процессов SOC и MSSP, а также о том, как анализ сетевого трафика помогает выявлять угрозы ещё до того, как они перерастут в серьёзный инцидент.

 

Отдельное внимание уделили требованиям приказа ФСТЭК № 117, вопросам сетевой безопасности и практическому опыту импортозамещения межсетевых экранов нового поколения (NGFW). Участники также обсуждали, как переводить регуляторные требования в реальные технические меры и обосновывать инвестиции в информационную безопасность с точки зрения бизнес-рисков.

 

Во время конференции «Информзащита» и Security Vision подписали соглашение о технологическом партнёрстве. Компании планируют совместно развивать проекты, связанные с автоматизацией процессов информационной безопасности и сервисными моделями SOC.

По словам генерального директора «Информзащиты» Михаила Визгина, сегодня проблемы компаний чаще связаны не с отсутствием средств защиты, а с тем, что они работают разрозненно. Поэтому всё больше внимания уделяется интеграции ИБ-контролей в процессы разработки, автоматизации обработки инцидентов и более глубокому анализу сетевой активности.

Конференция собрала около 200 участников — руководителей, специалистов по ИБ и ИТ, технических экспертов и представителей бизнеса. Помимо докладов, гости смогли обсудить практические вопросы с экспертами и познакомиться с решениями партнёров мероприятия.

RSS: Новости на портале Anti-Malware.ru