Троян Nymaim проверяет MAC-адреса в попытке обойти виртуальные машины

Троян Nymaim проверяет MAC-адреса в попытке обойти виртуальные машины

Троян Nymaim проверяет MAC-адреса в попытке обойти виртуальные машины

Троян Nymaim взял на вооружение новую функцию. Теперь, для того, чтобы проверить, работает ли он в виртуальной среде, вредонос сравнивает MAC-адреса. Об этом предупреждают исследователи в области безопасности SophosLabs.

Этот троян часто используется для загрузки дополнительных вредоносных программ на зараженные компьютеры, также он был замечен в нескольких кампаниях по распространению вымогателей. Теперь же вредонос сравнивает MAC-адрес зараженного им устройства со своим закодированным список, что позволяет ему избежать виртуальных сред и сорвать инструменты анализа.

Исследователь Sandor Nemes из SophosLabs объясняет, что новый функционал Nymaim помогает ему избежать антивирусных песочниц. Такое поведение трояна наблюдалось в образцах, используемых в кампании, ориентированной в основном на немецких пользователей.

Nymaim был обнаруженв 2013 году и представляет собой даунлоадер (downloader). Недавно он объединился с банковским трояном Gozi, так возникло новое семейство вредоносных программ под названием GozNym. Однако первоначальная версия Nymaim все еще продолжает использоваться в качестве загрузчика различных других угроз.

Недавно обнаруженные образцы имеют жестко прописанную дату окончания срока действия, по истечению которой угроза перестает работать должным образом. Троян отличается наличием различных уловок, например, чтобы пользователь запустил его, зловред выводит сообщение с надписью «Невозможно открыть PDF в браузере» (Cannot view a PDF in a web browser), затем загружает графическую библиотеку DirectDraw и безуспешно пытаться загрузить несуществующий DLL-файл.

Также было замечено, что Nymaim вычисляет хэш каждого файла в папке C:\Windows и сверяет его с черным списком хэшей, кроме этого, он запрашивает версию BIOS и проверяет реестр Windows, содержатся ли в нем записи "VBOX" или "VirtualBox". Чтобы извлечь MAC-адрес, Nymaim вызывает UuidCreateSequential API, который генерирует универсальный уникальный идентификатор (UUID), используя текущее время и MAC-адрес сетевой карты. Таким образом, вредоносная программа может сравнить первые три байта MAC-адреса со своим списком, чтобы определить, работает ли она в виртуальной среде.

Nymaim также использует исполняемые файлы с расширением .com, предположительно, это делается для обхода детекта антивирусными программами.

Фоновая служба Windows 11 может тайно съедать гигабайты ОЗУ

Microsoft снова заставила пользователей Windows 11 присматриваться к системным службам. На этот раз поводом стало изменение поведения одного из сервисов в Windows 11 24H2, 25H2 и Windows Server 2025 — теперь он запускается по умолчанию и может постоянно работать в фоне, а не только «по требованию». Это сразу вызвало опасения: не приведёт ли такой подход к лишней нагрузке на систему?

На фоне обсуждений среди участников форума Neowin всплыл старый знакомый — служба Delivery Optimization.

Один из постоянных участников форума с иронией заметил, что «хуже уже не будет, если только это не Delivery Optimization, которая иногда просто съедает всю память и сидит так ради удовольствия».

И почти сразу после этого пользователь на площадке Reddit подтвердил, что шутка не так уж далека от реальности. Он провёл собственное наблюдение за работой Delivery Optimization (DoSvc) и обнаружил, что со временем служба начинает потреблять всё больше оперативной памяти — заметно больше, чем другие системные процессы. По его словам, такая картина наблюдается уже около месяца и очень напоминает утечку памяти.

Delivery Optimization — это служба, которая отвечает за доставку обновлений Windows и приложений из Microsoft Store. Она работает по принципу P2P: компьютер может не только загружать обновления с серверов Microsoft, но и получать их от других устройств в локальной сети или даже в интернете. В теории это должно экономить трафик и ускорять обновления, но на практике сервис иногда ведёт себя слишком прожорливо.

Проблема в том, что при длительной работе Delivery Optimization может постепенно накапливать использование ОЗУ и не спешит его освобождать. Да, функцию можно ограничить или полностью отключить в настройках Центра обновления Windows, но по умолчанию она включена — и далеко не все пользователи знают, что именно она грузит систему.

На этом фоне решение Microsoft отложить внедрение ещё одной автоматической функции обновлений до 2026 года выглядит уже не таким странным. Компания прямо сослалась на отзывы пользователей и администраторов. А рекомендация иметь минимум 16 ГБ оперативной памяти для «игровых ПК» теперь звучит не как маркетинг, а как суровая необходимость.

RSS: Новости на портале Anti-Malware.ru