Обнаружен вредоносный JavaScript, использующий агрессивные методы

Обнаружен вредоносный JavaScript, использующий агрессивные методы

Обнаружен вредоносный JavaScript, использующий агрессивные методы

Исследователи безопасности обнаружили вредоносный сценарий, который использует агрессивную тактику, чтобы завладеть браузером и помешать пользователям удалить себя из системы. 

Несмотря на то, что угроза не представляет собой что-то новое, исследователи из Kahu Security говорят, что настолько агрессивной тактики они раньше не встречали. Более того, автор настолько обфусцировал скрипт, что это создает серьезную проблему при его анализе специалистами.

Вредоносный скрипт содержит многочисленные переменные и функции, но в нем отсутствуют пробелы, переводы строки и табуляция, что очень затрудняет его анализ. Кроме того, JavaScript содержит закодированные символы поиска регулярных выражений поиска/замены, необычные преобразования базы, а также условные операторы в попытке скрыть его умысел.

Для того, чтобы закрепиться на зараженной машине, скрипт делает копию wscript.exe, а затем переименовывает его, присваивая случайное имя и сохраняет его в новую папку в AppData\Roaming. Вредонос также создает свою копию и использует копию wscript.exe для запуска сценария.

Эксперты также отмечают, что скрипт использует определенные ключи реестра, чтобы скрыть папку, а затем создает ярлык в папке автозагрузки. Таким образом, скрипт будет запускаться при каждом старте системы.

Кроме того, скрипт проверяет, может ли он получить доступ к Microsoft, Google и Bing, а затем отправляет данные о зараженном компьютере на urchintelemetry[.]com и загружает зашифрованный файл из 95.153.31[.]22. Этот файл представляет собой скрипт, предназначенный для изменения начальной страницы в Internet Explorer, Firefox и Chrome на login.hhtxnet[.]com.

При запуске браузера, пользователь перенаправляется на portalne[.]ws. Исследователи также говорят о том, что командный центр вредоноса выглядит нефункционирующим, однако, если отправлен определенный правильный POST, командный центр ответит.

Зловред также использует инструментарий управления Windows, чтобы защитить себя от различных антивирусных программ. Таким образом, если скрипт видит процессы определенных программ, он завершает их необычным способом – отображая сообщение, которое призвано заставить пользователей думать, что программа не работает.

Если пользователь завершает процесс WScript, связанный с вредоносом, компьютер сразу же выключается. Для того, чтобы все-таки удалить зловред, нужно перезагрузить компьютер в безопасном режиме, либо войти в другую учетную запись и удалить ссылку запуска в папке roaming. Исследователям безопасности рекомендуется переименовывать свои процессы во что-нибудь безобидное, если они хотят заняться анализом этого вредоноса.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Банки Беларуси предотвратили 31 тыс. мошенничеств благодаря AntiFraud Club

Российский разработчик F6 сообщил о масштабном расширении AntiFraud Club — профессионального сообщества, которое объединяет банки Беларуси для совместной борьбы с финансовыми мошенниками. В основе работы клуба лежит технология F6 Fraud Protection, позволяющая организациям обмениваться данными об инцидентах и координировать действия в реальном времени.

AntiFraud Club стартовал в Минске в марте 2024 года с участием шести банков. Спустя полтора года сообщество выросло в несколько раз.

На ноябрьской встрече среди участников были: «Альфа-Банк» (ЗАО), «Белагропромбанк», «Банк БелВЭБ», «Белгазпромбанк», «МТБанк», «Нео Банк Азия», «Приорбанк», «СтатусБанк», «Технобанк» и партнёр F6 — «Позитив Вью».

Главная задача клуба — совместно выявлять новые мошеннические схемы, обмениваться инцидентами и внедрять защитные решения.

По оценкам F6, только в 2025 году участники AntiFraud Club предотвратили свыше 31 200 мошеннических попыток, связанных с дистанционным банковским обслуживанием. Чаще всего пользователей атакуют через:

  • распространение зловредов (включая CraxsRAT и NFCGate);
  • инвестскам;
  • фальшивые розыгрыши от имени банков;
  • взлом аккаунтов в мессенджерах;
  • фейковые компенсации и мошеннические опросы.

Отдельно эксперты отмечают рост атак с использованием таких зловредов, как CraxsRAT и NFCGate. Аналогичная тенденция наблюдалась и в России: только в феврале 2025 года число заражений CraxsRAT выросло в 2,5 раза и превысило 22 тысячи скомпрометированных Android-устройств.

Главный канал распространения зловредов остаётся прежним — социальная инженерия. Поддельные приложения маскируются под сервисы мобильных операторов, платёжные платформы, VPN, приложения для знакомств или коммунальных услуг. Жертвы устанавливают их по ссылкам из мессенджеров или из неофициальных источников.

Директор департамента розничных рисков «Альфа-Банка» Владимир Короб отмечает, что масштабы и скорость эволюции мошенничества требуют объединения усилий:

«Современные мошенники действуют глобально. ИИ, большие данные, поддельные сервисы — всё это уже реальность. Поэтому важны не только технологии, но и партнёрство. Мы работаем с разработчиками, регулятором, правоохранителями и AntiFraud Club, чтобы сделать платежи максимально надёжными».

Руководитель направления F6 Fraud Protection Дмитрий Ермаков подчёркивает, что эффект от объединения уже заметен:

«Благодаря координации и обмену инцидентами банки Беларуси значительно усилили защиту клиентов. Решения F6 и совместный анализ схем позволяют быстрее реагировать на атаки и снижать риски».

AntiFraud Club продолжает расширяться, а участники готовят новые форматы сотрудничества в борьбе с мошенничеством.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru