Trend Micro обнаружила бестелесного вымогателя SOREBRECT

Trend Micro обнаружила бестелесного вымогателя SOREBRECT

Trend Micro обнаружила бестелесного вымогателя SOREBRECT

Эксперты Trend Micro наткнулись на интересное семейство вымогателей. По их словам, данная вредоносная программа использует комбинацию таких методов, как бесфайловая атака и инъекция кода.

SOREBRECT, как назвали угрозу, была первоначально обнаружена пару месяцев назад, когда ей удалось заразить системы и сети организаций на Ближнем Востоке. Вымогатель использует необычные методы шифрования, например, утилиту PsExec для инъекции кода, а также фокусируется на том, чтобы оставаться незаметным.

Также у вредоноса в наличии есть механизм саморазрушения, который удаляет файл вымогателя после того, как он внедрит свой код в легитимный процесс. Более того, в попытке помешать исследователям докопаться до истины, зловред удаляет журналы событий на зараженной системе.

Изначально SOREBRECT распространялся только на территории ближневосточных стран. Однако к началу мая он уже был найден на компьютерах в Канаде, Китае, Хорватии, Италии, Японии, Мексике, России, Тайване и США.

«Учитывая ту прибыль, которую приносят вымогатели, ничего удивительного не будет в том, что SOREBRECT появится в других частях мира или даже на соответствующих форумах, где его можно будет продавать как услугу» - говорится в сообщении Trend Micro.

Как уже было обозначено выше, вредоносная программа использует PsExec, легитимную утилиту командной строки Windows. Эту утилиту часто также используют системные администраторы для выполнения команд или запуска исполняемых файлов на удаленных системах.

Однако особенность SOREBRECT заключается в том, что вредонос выполняет инъекцию кода.

«Он внедряет свой код в процесс Windows svchost.exe, а основной файл вымогателя удаляется. Это довольно мощная атака, так как после этого легитимный процесс svchost.exe осуществляет выполнение вредоносной нагрузки (шифрование файлов)» - объясняет Trend Micro.

Вымогатель также использует wevtutil.exe для удаления журналов событий системы, а vssadmin - для удаления теневых копий, что скрывает его следы в системе и не позволяет пользователям восстановить свои файлы. Вредоносная программа также использует сеть TOR для связи с командным сервером (C&C).

Для того, чтобы защититься от этой угрозы, эксперты рекомендуют ограничить права пользователя на запись и привилегии для PsExec.

Банковские карты россиян возьмут на карандаш

Банк России взялся за год создать единый реестр платежных карт с тем, чтобы облегчить кредитно-финансовым организациям соблюдение планируемых к вводу лимитов: до 20 карт у гражданина, до пяти в одном банке.

О намерении ЦБ запустить в будущем году такой справочник для отрасли стало известно из выступления в Думе замглавы Минцифры Ивана Лебедева. С его слов, оба регулятора вместе прорабатывали этот вопрос.

«Вы знаете, что это ограничение по банкам — по картам, — цитирует РИА Новости спикера. — Центральный банк взял на себя обязательство в течение года подготовить базу единую по всей стране, из которой будет видно, сколько у каждого гражданина в каком банке оформлено карт.

В конце прошлого года в Госдуму был внесен второй пакет законопроектов в рамках борьбы с кибермошенничеством. В числе прочих мер противодействия было предложено ограничить число банковских карт — до 20 на человека, не более пяти одного и того же эмитента.

Для контроля соблюдения этого требования, способного сдержать рост числа дропов, планировалось запустить специальный сервис.

Напомним, дропперство в России является уголовно наказуемым деянием. Пособникам в проведении мошеннических операций грозит до трёх лет лишения свободы, организаторам схемы — до шести лет.

RSS: Новости на портале Anti-Malware.ru