Вредоносные программы, использующие макросы теперь атакуют и macOS

Вредоносные программы, использующие макросы теперь атакуют и macOS

Вредоносные программы, использующие макросы теперь атакуют и macOS

Более десяти лет вредоносные программы, использующие макросы в документах Microsoft Office активно атаковали операционные системы Windows. Теперь же подобные зловреды представляют угрозу и для пользователей MacOS.

Эксперт из Synack, Патрик Уордл (Patrick Wardle), недавно обнаружил атаку на пользователей MacOS, использующую ту же тактику с вредоносными макросами, которая была так успешна в случае с Windows. По словам Уордла, атака осуществлялась с помощью документа под названием «U.S. Allies and Rivals Digest Trump’s Victory - Carnegie Endowment for International Peace.docm».

Используя ClamAV sigtool для извлечения макросов, эксперт наткнулся на код Python, предназначенный для выполнения ряда проверок на компьютере потенциальной жертвы, который затем выполняет вредоносные действия. Как только пользователь открывает документ в Word для Mac (при этом макросы должны быть включены) начинает выполняться функция Фишера.

Функция Фишера декодирует base64-данные и выполняет их с помощью Python. Python-код, по утверждениям экспертов, был скопирован с проекта с открытым исходным кодом EmPyre. Он проверяет, не активирован ли в системе LittleSnitch и загружает вредоносный компонент с адреса hxxps[:]//www. securitychecking.org:443/index[.]asp. Затем код расшифровывает и запускает этот компонент.

К сожалению, эксперту пока не удалось проанализировать то, что загружается с вышеуказанного адреса, так как этот файл не был доступен во время анализа.

«ПО моим предположениям, второй компонент, который загружается вредоносом в ходе установки, обеспечивает удаленному злоумышленнику постоянный доступ к зараженному устройству» - говорит исследователь.

IP-адрес домена securitychecking(.)org, на котором располагается вредоносный компонент, указывает на Россию и ранее был связан с фишингом.

Мошенники начали звонить от имени соседей и звать в чат про бомбоубежище

Мошенники снова поймали тревожную тему и собрали из неё новую схему. Теперь они звонят людям якобы от имени соседей и сообщают о срочном собрании жильцов по поводу оборудования бомбоубежища в доме.

Об этом пишет телеграм-канал «Лапша Медиа» совместно с авторским каналом Александра Ельшевского «Без обмана».

Звонящий представляется соседом, говорит о важном собрании жильцов и предлагает добавить человека в общий чат. Дальше начинается классика: вместо обсуждения реального вопроса мошенник быстро переходит к личным данным, просит назвать имя, телефон или другую информацию.

Также жертву убеждают, что без вступления в чат и попадания в списки на собрание якобы не получится.

Главный подвох в том, что жильцы дома не могут просто голосованием решить вопрос о создании бомбоубежища. Такие объекты создаются по государственным требованиям и нормам безопасности.

Поэтому срочное соседское собрание, на которое почему-то нельзя попасть без передачи данных незнакомцу по телефону, уже само по себе пахнет не инициативой жильцов, а разводом.

Если человек продолжит разговор, дальше может начаться второй этап схемы. Позже ему могут позвонить уже якобы сотрудники госорганов и заявить, что его данные попали к мошенникам. После этого жертву начнут подталкивать к переводам денег или другим действиям.

Распознать схему несложно: собеседник избегает личной встречи, настаивает на телефонном разговоре, быстро уводит тему к вашим данным и требует вступить в неизвестный чат. В таком случае лучший ответ — закончить разговор.

Личные данные незнакомцам по телефону сообщать не стоит. Если звонящий правда сосед, вопрос можно обсудить лично.

RSS: Новости на портале Anti-Malware.ru