Вымогатель Erebus использует недавно обнаруженную технику обхода UAC

Вымогатель Erebus использует недавно обнаруженную технику обхода UAC

Новый вид вымогателей использует метод обхода контроля учетных записей (UAC) для того, чтобы повысить свои привилегии в системе без отображения окна UAC.

Erebus, новый вид вымогателей, имеет то же название, что и обнаруженный в конце сентября 2016 вредонос. Однако по словам исследователя BleepingComputer, Лоуренса Абрамса, характеристики этих двух вредоносных приложений позволяют предположить, что недавно обнаруженный вариант либо совсем другое вредоносное ПО, либо полностью переписанный старый вариант.

На данный момент нет информации о способе распространения этого вымогателя. Однако экспертам известно, что он эффективно использует технику обхода UAC, которая была подробно описана в августе прошлого года. Она заключается в использовании средства просмотра событий (Event Viewer tool).

Новый вариант Erebus после попадания в систему копирует себя в ту же папку, где находится Event Viewer, после чего он редактирует реестр Windows. Целью редактирования реестра является изменение ассоциация для файлов .msc, чтобы запустить файл Erebus со случайным именем.

Следующим этапом вымогатель запускает на выполнение eventvwr.exe (Event Viewer), который запустит файл eventvwr.msc, а eventvwr.msc в свою очередь попытается запустить mmc.exe. Но поскольку .msc-файлы больше не связаны с mmc.exe, вместо него запустится исполняемый файл Erebus. Более того, тот факт, что Event Viewer работает с повышенными привилегиями, позволяет ему обойти UAC.

При запуске, вредоносная программа подключается к двум различным доменам, чтобы определить IP-адрес жертвы и страну, в которой жертва находится. Далее вредоносная программа загружает клиент TOR и использует его для подключения к командному центру (C&C).

Затем вымогатель сканирует зараженный компьютер в поиске определенных типов файлов и шифрует их с помощью алгоритма AES. На данный момент вредонос нацелен на 60 типов файлов, в числе которых изображения и документы. Исследователь говорит, что Erebus шифрует расширения файлов с помощью ROT-23.

Во время процесса шифрования зловред очищает теневые копии Windows, чтобы пользователь не восстановил свои файлы при помощи этой функции. После того, как процесс шифрования завершен, вымогатель создает на рабочем столе записку с требованиями под именем README.HTML и отображает ее.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Huawei: Несмотря на запрет Android, текущие юзеры будут получать патчи

Как стало известно сегодня, Google собирается отозвать лицензию на использование операционной системы Android у китайской компании Huawei. Причиной такого решения стало требование со стороны правительства США. Теперь Huawei прокомментировала ситуацию, выразив свою точку зрения.

На самом деле, ответ китайского техногиганта оставляет больше вопросов, чем проливает свет на сложившуюся ситуацию. Huawei подчеркивает, что компания значительно поспособствовала мировому росту операционной системы Android.

Это утверждение отчасти подтверждается статистикой продаж смартфонов Huawei — компания занимает лидирующее место по увеличению числа продаж, другие вендоры либо остаются на том же уровне, либо сталкиваются со снижением интереса к своим продуктам.

Также Huawei заверила пользователей и издание The Verge, что смартфоны корпорации, включая успешную линейку Honor, будут получать обновления безопасности Android и полную поддержку устройств, как это и положено.

Однако судьба будущих смартфонов от Huawei остается под вопросом — компания пока не готова утверждать что-либо категорично относительно телефонов, которые будут выпущены в будущем.

Google, со своей стороны, пообещала, что текущие пользователи выпущенных Huawei смартфонов смогут и дальше пользоваться Play Store, а также получать обновления установленных программ.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru