Троян Nymaim проверяет MAC-адреса в попытке обойти виртуальные машины

Троян Nymaim проверяет MAC-адреса в попытке обойти виртуальные машины

Троян Nymaim проверяет MAC-адреса в попытке обойти виртуальные машины

Троян Nymaim взял на вооружение новую функцию. Теперь, для того, чтобы проверить, работает ли он в виртуальной среде, вредонос сравнивает MAC-адреса. Об этом предупреждают исследователи в области безопасности SophosLabs.

Этот троян часто используется для загрузки дополнительных вредоносных программ на зараженные компьютеры, также он был замечен в нескольких кампаниях по распространению вымогателей. Теперь же вредонос сравнивает MAC-адрес зараженного им устройства со своим закодированным список, что позволяет ему избежать виртуальных сред и сорвать инструменты анализа.

Исследователь Sandor Nemes из SophosLabs объясняет, что новый функционал Nymaim помогает ему избежать антивирусных песочниц. Такое поведение трояна наблюдалось в образцах, используемых в кампании, ориентированной в основном на немецких пользователей.

Nymaim был обнаруженв 2013 году и представляет собой даунлоадер (downloader). Недавно он объединился с банковским трояном Gozi, так возникло новое семейство вредоносных программ под названием GozNym. Однако первоначальная версия Nymaim все еще продолжает использоваться в качестве загрузчика различных других угроз.

Недавно обнаруженные образцы имеют жестко прописанную дату окончания срока действия, по истечению которой угроза перестает работать должным образом. Троян отличается наличием различных уловок, например, чтобы пользователь запустил его, зловред выводит сообщение с надписью «Невозможно открыть PDF в браузере» (Cannot view a PDF in a web browser), затем загружает графическую библиотеку DirectDraw и безуспешно пытаться загрузить несуществующий DLL-файл.

Также было замечено, что Nymaim вычисляет хэш каждого файла в папке C:\Windows и сверяет его с черным списком хэшей, кроме этого, он запрашивает версию BIOS и проверяет реестр Windows, содержатся ли в нем записи "VBOX" или "VirtualBox". Чтобы извлечь MAC-адрес, Nymaim вызывает UuidCreateSequential API, который генерирует универсальный уникальный идентификатор (UUID), используя текущее время и MAC-адрес сетевой карты. Таким образом, вредоносная программа может сравнить первые три байта MAC-адреса со своим списком, чтобы определить, работает ли она в виртуальной среде.

Nymaim также использует исполняемые файлы с расширением .com, предположительно, это делается для обхода детекта антивирусными программами.

Житель Новосибирска осужден за взлом систем мобильного оператора

Октябрьский суд Новосибирска приговорил 40-летнего жителя города к пяти годам лишения свободы условно с испытательным сроком 3 года 6 месяцев. Его признали виновным во взломе информационной системы мобильного оператора и продаже данных, к которым он получил доступ.

О вынесении приговора по ч. 5 ст. 274.1 УК РФ (неправомерный доступ к охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре РФ) сообщил Интерфакс со ссылкой на прокуратуру Новосибирска.

«Установлено, что подсудимый в период времени с 15 сентября по 29 октября 2023 г., используя персональный компьютер, обнаружил уязвимость сервиса информационной системы мобильного оператора, получил неправомерный доступ к сведениям о телефонных соединениях, данным о местонахождении абонентов, персональным данным, а также сведениям, необходимым для авторизации в аккаунтах одного из мессенджеров», — приводит агентство выдержку из сообщения прокуратуры.

От действий фигуранта пострадали 33 человека. Полученные данные он продал третьим лицам. Подсудимый полностью признал вину.

Суд назначил ему пять лет лишения свободы условно с испытательным сроком 3 года 6 месяцев. Кроме того, у подсудимого конфисковали компьютер, пять телефонов и 1 млн рублей.

По данным исследования компании «СерчИнформ», 55% эпизодов по ИБ-преступлениям относится к отрасли связи. Речь идёт о преступлениях по статьям 137, 138, 159, 159.6, 183, 272 и 274.1 УК РФ.

RSS: Новости на портале Anti-Malware.ru