Flashpoint: Троян Dridex использует новый метод обхода UAC

Flashpoint: Троян Dridex использует новый метод обхода UAC

Flashpoint: Троян Dridex использует новый метод обхода UAC

Замеченная недавно кампания по распространению трояна Dridex эффективно использует новый метод обхода контроля учётных записей пользователей (User Account Control, UAC). Об этом предупреждают исследователи в области безопасности Flashpoint.

В появившейся недавно вредоносной кампании по распространению трояна Dridex был замечен новый метода обхода контроля учётных записей пользователей Windows. Этот метод примечателен тем, что в нем используется recdisc.exe - исполняемый файл восстановления диска в Windows. Также во вредоносной программе были замечены еще две особенности: загрузку вредоносного кода с помощью SPP.dll, использование svchost и spoolsrv для связи с командным центром (C&C-сервер).

Dridex в этой кампании распространяется как и раньше - через спам-письма с прилагаемыми документами Word, использующими вредоносные макросы, предназначенные для загрузки и выполнения вредоносного кода. После заражения, троянец перемещает себя из текущего местоположения в папку %TEMP%.

«После того как Dridex укрепился в системе, он пытается всеми доступными способами получить от пользователя информацию для доступа к банк-клиентам. Причем авторы трояна способны создать диалоговое окно запроса, пытаясь сделать его максимально похожим на отправленный банком запрос» - объясняет аналитик Flashpoint Витали Кремец (Vitali Kremez).

Троян использует утилиту для восстановления диска recdisc.exe для загрузки подмененной библиотеки SPP.dll, такими образом он обходит защиту UAC. Это происходит потому что операционная система отправляет эту программу в белый список для автоматической загрузки.

Алгоритм действий Dridex выглядит так:

  1. Создает папку Windows\System32\6886
  2. Копирует легитимный файл Windows\System32\recdisc.exe в эту папку
  3. Копирует себя в %APPDATA%\Local\Temp как tmp-файл
  4. Перемещает себя в Windows\System32\6886\SPP.dll
  5. Удаляет файлы из папки Windows\System32 по следующим маскам: wu*.exe и po*.dll
  6. Запускает recdisc.exe и запускает свою копию SPP.dll с правами администратора

Эксперты также определили, что вредонос взаимодействует по сети через 4431-4433 порты.

Взлом российской криптобиржи Grinex обернулся кражей на миллиард

Российская криптобиржа Grinex сообщила о взломе, в результате которого было похищено около 1 млрд рублей. По данным самой площадки, пострадали 37 клиентов. Все операции на бирже временно приостановлены.

О взломе биржа сообщила в своём официальном Telegram-канале. Произошедшее там назвали «целенаправленной атакой зарубежных ведомств». В компании заявили, что на это указывают характер инцидента и ресурсы, которые, по её версии, использовали злоумышленники.

Как сообщают «Ведомости», в ходе инцидента были похищены средства с 37 криптокошельков. После этого их конвертировали в криптовалюту TRX и перевели на единый адрес.

Работа площадки полностью остановлена. На сайте размещена заглушка о проведении технических работ, а физический офис прекратил выдачу пропусков.

Как заявили представители биржи в комментарии одному из профильных ресурсов, по факту инцидента уже подано заявление в правоохранительные органы, расследование начато.

Grinex и ранее находилась под давлением зарубежных финансовых регуляторов. В 2025 году биржа попала под санкции. Ряд аналитических агентств называл её ребрендингом криптобиржи Garantex, закрытой в начале того же года после введения жёстких санкций. Руководство Grinex эту связь отрицало.

Перспективы возврата средств председатель Союза цифровых платформ «Цифровой мир» Валерий Корнеев в комментарии для НСН оценил как крайне туманные:

«Физически где находятся люди и кто именно несёт ответственность за ту или иную криптобиржу? Они могут быть гражданами одной страны, находиться в другой, а серверы — ещё в третьей.

Плюс большинство стран мира не признаёт криптовалюты имуществом. Поэтому привлечь кого-то к ответственности сложно, а зачастую и взыскивать просто нечего, поскольку речь идёт о другой юрисдикции. Вряд ли судебные приставы могут здесь помочь. Слишком много факторов, а шансов мало».

RSS: Новости на портале Anti-Malware.ru