Новая вредоносная программа Acronym, предположительно, связана с Potao

Новая вредоносная программа Acronym, предположительно, связана с Potao

Новая вредоносная программа Acronym, предположительно, связана с Potao

Исследователи Arbor Networks столкнулись с новой версией вредоносной программы, которая может быть связана с трояном, используемым в кампании Operation Potao Express.

Вредонос привлек внимание экспертов Arbor Networks после того, как экспертом из Италии, известным под именем Antelox, в Twitter была размещена ссылка на его анализ VirusTotal. Анализ трояна и его дроппера показал, что он может быть связан с семейством вредоносных программ Potao.

Potao описывали как «универсальный модульный инструментарий для кибершпионажа», он появился приблизительно в 2011 году, однако впервые детально был проанализирован ESET в 2015 году.

В своем отчете компания ESET заявила о том, что зловред, скорее всего, родом из России, а использовался он в атаках, направленных против организаций в Украине, России, Грузии и Беларуси.

Как полагает Arbor Networks, новая вредоносная программа, получившая название «Acronym», может быть связана с Potao. Acronym и его дроппер, предположительно, были созданы в середине февраля.

Дроппер предназначен для завершения системного процесса Windows wmpnetwk.exe и замены легитимного файла wmpnetwk.exe на вредоносный. После запуска Acronym использует реестр или планировщик заданий, чтобы закрепиться в системе. Затем он связывается с командным центром и отправляет ему информацию о зараженной машине.

Как и Potao, Acronym является модульной вредоносной программой. Его встроенные команды позволяют злорумышленнику делать скриншоты, загружать и выполнять файлы, запускать плагины.

На этом сходства этих двух вредоносов не заканчиваются – оба пытаются связаться с командным центром через одни и те же порты и используют имена временных файлов, начинающиеся на «HH».

С другой стороны, есть несколько отличий в работе Potao и Acronym – дроппер Acronym, например, не использует документы для распространения, DLL-файлы и внедрения в процессы тоже не были замечены в работе этого зловреда. Более того, некоторые куски кода Acronym, в том числе отвечающие за связь по протоколу HTTP, шифрование и скриншоты, похоже, были скопированы из общедоступных примеров.

«На данный момент довольно трудно оценить, насколько активно и широко распространено это новое семейство, но у него определенно есть потенциал» - утверждает эксперт Arbor Networks, Деннис Шварц (Dennis Schwarz).

Банковские карты россиян возьмут на карандаш

Банк России взялся за год создать единый реестр платежных карт с тем, чтобы облегчить кредитно-финансовым организациям соблюдение планируемых к вводу лимитов: до 20 карт у гражданина, до пяти в одном банке.

О намерении ЦБ запустить в будущем году такой справочник для отрасли стало известно из выступления в Думе замглавы Минцифры Ивана Лебедева. С его слов, оба регулятора вместе прорабатывали этот вопрос.

«Вы знаете, что это ограничение по банкам — по картам, — цитирует РИА Новости спикера. — Центральный банк взял на себя обязательство в течение года подготовить базу единую по всей стране, из которой будет видно, сколько у каждого гражданина в каком банке оформлено карт.

В конце прошлого года в Госдуму был внесен второй пакет законопроектов в рамках борьбы с кибермошенничеством. В числе прочих мер противодействия было предложено ограничить число банковских карт — до 20 на человека, не более пяти одного и того же эмитента.

Для контроля соблюдения этого требования, способного сдержать рост числа дропов, планировалось запустить специальный сервис.

Напомним, дропперство в России является уголовно наказуемым деянием. Пособникам в проведении мошеннических операций грозит до трёх лет лишения свободы, организаторам схемы — до шести лет.

RSS: Новости на портале Anti-Malware.ru