Вымогатель Erebus использует недавно обнаруженную технику обхода UAC

Вымогатель Erebus использует недавно обнаруженную технику обхода UAC

Вымогатель Erebus использует недавно обнаруженную технику обхода UAC

Новый вид вымогателей использует метод обхода контроля учетных записей (UAC) для того, чтобы повысить свои привилегии в системе без отображения окна UAC.

Erebus, новый вид вымогателей, имеет то же название, что и обнаруженный в конце сентября 2016 вредонос. Однако по словам исследователя BleepingComputer, Лоуренса Абрамса, характеристики этих двух вредоносных приложений позволяют предположить, что недавно обнаруженный вариант либо совсем другое вредоносное ПО, либо полностью переписанный старый вариант.

На данный момент нет информации о способе распространения этого вымогателя. Однако экспертам известно, что он эффективно использует технику обхода UAC, которая была подробно описана в августе прошлого года. Она заключается в использовании средства просмотра событий (Event Viewer tool).

Новый вариант Erebus после попадания в систему копирует себя в ту же папку, где находится Event Viewer, после чего он редактирует реестр Windows. Целью редактирования реестра является изменение ассоциация для файлов .msc, чтобы запустить файл Erebus со случайным именем.

Следующим этапом вымогатель запускает на выполнение eventvwr.exe (Event Viewer), который запустит файл eventvwr.msc, а eventvwr.msc в свою очередь попытается запустить mmc.exe. Но поскольку .msc-файлы больше не связаны с mmc.exe, вместо него запустится исполняемый файл Erebus. Более того, тот факт, что Event Viewer работает с повышенными привилегиями, позволяет ему обойти UAC.

При запуске, вредоносная программа подключается к двум различным доменам, чтобы определить IP-адрес жертвы и страну, в которой жертва находится. Далее вредоносная программа загружает клиент TOR и использует его для подключения к командному центру (C&C).

Затем вымогатель сканирует зараженный компьютер в поиске определенных типов файлов и шифрует их с помощью алгоритма AES. На данный момент вредонос нацелен на 60 типов файлов, в числе которых изображения и документы. Исследователь говорит, что Erebus шифрует расширения файлов с помощью ROT-23.

Во время процесса шифрования зловред очищает теневые копии Windows, чтобы пользователь не восстановил свои файлы при помощи этой функции. После того, как процесс шифрования завершен, вымогатель создает на рабочем столе записку с требованиями под именем README.HTML и отображает ее.

Линус Торвальдс резко высказался против ИИ-слопа в ядре Linux

Пока мир захлёбывается от LLM-ботов и бесконечного ИИ-слопа, ядро Linux, похоже, остаётся последним бастионом здравого смысла. По крайней мере, если судить по свежей реакции Линуса Торвальдса на дискуссию вокруг использования ИИ в разработке ядра.

Создатель Linux довольно резко высказался по поводу идеи как-то отдельно регулировать или документировать вклад, сделанный с помощью LLM-помощников.

Поводом стало сообщение разработчика ядра Лоренцо Стоукса, связанного с Oracle, который усомнился в популярной формуле «LLM — это просто ещё один инструмент» и назвал такую позицию наивной.

Ответ Торвальдса был, мягко говоря, недипломатичным — в его стиле:

«Нет. Глупая тут как раз твоя позиция. Говорить об “ИИ-слопе” — это просто идиотизм. Люди, которые клепают плохие патчи с помощью ИИ, не будут добросовестно это документировать. Это настолько очевидно, что я вообще не понимаю, зачем это обсуждать».

Дальше — ещё жёстче. По мнению Торвальдса, документация ядра не должна превращаться в идеологическое поле боя между апологетами ИИ и сторонниками «конца света»:

«Я не хочу, чтобы документация по разработке ядра становилась заявлением об ИИ. У нас и так хватает людей по обе стороны — от “всё пропало” до “ИИ революционизирует разработку”».

Именно поэтому он настаивает на нейтральной формулировке «просто инструмент». Не потому, что он безоговорочно верит в LLM, а потому что документация — не место для деклараций.

При этом позиция Торвальдса остаётся, как ни странно, неоднозначной. Формально он не запрещает использование ИИ-помощников и, похоже, понимает, что запрет был бы бессмысленным. Если LLM-боты можно использовать тайком, их всё равно будут использовать. Просто не скажут об этом.

Контекст у спора вполне реальный. Команды разработчиков уже работают над чёткими рекомендациями по написанию патчей с помощью ИИ, а сами инструменты активно применяются на практике.

Сам Торвальдс раньше высказывался об ИИ куда мягче. В 2024 году он говорил, что 90% ИИ-маркетинга — это хайп, а позже неожиданно допустил вайб-кодинг, но с оговоркой: «если это не для чего-то важного». С этим, впрочем, далеко не все согласились — включая технических журналистов.

Кроме того, Линус в декабре неожиданно оправдал Windows BSOD.

RSS: Новости на портале Anti-Malware.ru