Печально известный бэкдор, поражавший организации по всему миру с 2013 года, недавно начал использовать платформу Windows Troubleshooting для распространения. Бэкдор известен под названием "LatentBot" и был обнаружен в конце прошлого года. Представляет собой модульный бот.
Эта вредоносная программа позволяет злоумышленникам осуществлять наблюдение, красть информацию и удаленно получать команды, эксперты из Proofpoint. Более того, бэкдор оставался практически незамеченным в течение двух лет, прежде чем FireEye случайно наткнулись на него. В прошлом году вредонос успешно атаковал компании в США, Великобритании, Южной Корее, Бразилии, Объединенных Арабских Эмиратах, Сингапуре, Канаде, Перу и Польше.
В своих вредоносных кампаниях LatentBot использовал вредоносные вложения в письмах, однако исследователи Proofpoint предупреждают, что это может быть далеко не единственный метод. Как только вредоносный документ будет открыт пользователем, выскочит сообщение, утверждающее, что нужно «выполнить двойной клик мышкой для автоматического определения кодировки символов». Если пользователь сделает это, будет запущен внедренный OLE-объект.
Вредоносный объект подписан цифровой подписью DIAGCAB и пытается заставить пользователя думать, что работает от лица Windows Troubleshooting.
Исследователи в области безопасности утверждают, что методы, используемые этим бэкдором помогают избежать детектирования многим песочницами, что делает эту угрозу довольно серьезной.
Как было замечено, LatentBot устанавливает несколько плагинов для удаленного доступа, включая такие как: Bot_Engine, remote_desktop_service, send_report, security и vnc_hide_desktop.
Эксперты предупреждают, что подобная тенденция к использованию злоумышленниками все новых методов для заражения и сокрытия вредоносов в системе может иметь очень негативные последствия.
Администраторам серверов на PHP стоит освободить время для обновления. Специалисты по безопасности предупредили сразу о двух критических уязвимостях с 9,2 балла из 10 по CVSS 4.0. Выпуск заплаток запланирован на 21 октября в 17:00 по Москве.
Пользователей просят подготовиться заранее, чтобы установить обновления сразу после выхода. Технические подробности, список затронутых версий и номера исправленных сборок команда обещает опубликовать вместе с релизом.
Пока официальное уведомление не позволяет определить, какие именно установки уязвимы и при каких условиях возможна атака.
Есть и оговорка по времени: патчи могут выпустить раньше, если детали одной из уязвимостей станут публичными или появятся свидетельства реальных атак.
У администраторов задача — проверить, где используется PHP, и подготовить обновление.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
