Trend Micro обнаружила бестелесного вымогателя SOREBRECT

Trend Micro обнаружила бестелесного вымогателя SOREBRECT

Trend Micro обнаружила бестелесного вымогателя SOREBRECT

Эксперты Trend Micro наткнулись на интересное семейство вымогателей. По их словам, данная вредоносная программа использует комбинацию таких методов, как бесфайловая атака и инъекция кода.

SOREBRECT, как назвали угрозу, была первоначально обнаружена пару месяцев назад, когда ей удалось заразить системы и сети организаций на Ближнем Востоке. Вымогатель использует необычные методы шифрования, например, утилиту PsExec для инъекции кода, а также фокусируется на том, чтобы оставаться незаметным.

Также у вредоноса в наличии есть механизм саморазрушения, который удаляет файл вымогателя после того, как он внедрит свой код в легитимный процесс. Более того, в попытке помешать исследователям докопаться до истины, зловред удаляет журналы событий на зараженной системе.

Изначально SOREBRECT распространялся только на территории ближневосточных стран. Однако к началу мая он уже был найден на компьютерах в Канаде, Китае, Хорватии, Италии, Японии, Мексике, России, Тайване и США.

«Учитывая ту прибыль, которую приносят вымогатели, ничего удивительного не будет в том, что SOREBRECT появится в других частях мира или даже на соответствующих форумах, где его можно будет продавать как услугу» - говорится в сообщении Trend Micro.

Как уже было обозначено выше, вредоносная программа использует PsExec, легитимную утилиту командной строки Windows. Эту утилиту часто также используют системные администраторы для выполнения команд или запуска исполняемых файлов на удаленных системах.

Однако особенность SOREBRECT заключается в том, что вредонос выполняет инъекцию кода.

«Он внедряет свой код в процесс Windows svchost.exe, а основной файл вымогателя удаляется. Это довольно мощная атака, так как после этого легитимный процесс svchost.exe осуществляет выполнение вредоносной нагрузки (шифрование файлов)» - объясняет Trend Micro.

Вымогатель также использует wevtutil.exe для удаления журналов событий системы, а vssadmin - для удаления теневых копий, что скрывает его следы в системе и не позволяет пользователям восстановить свои файлы. Вредоносная программа также использует сеть TOR для связи с командным сервером (C&C).

Для того, чтобы защититься от этой угрозы, эксперты рекомендуют ограничить права пользователя на запись и привилегии для PsExec.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В ExpressVPN для Windows устранили уязвимость слива IP за считаные дни

ИБ-команда ExpressVPN опубликовала информацию об уязвимости, закрытой в Windows-клиенте версии 12. Возможность раскрытия IP-адреса пользователя возникает при установке RDP-соединения на порту 3389.

Уведомление о найденной уязвимости было подано 25 апреля в рамках программы bug bounty, запущенной для ExpressVPN. К 30 апреля вышла сборка 12.101.0.45 с исправлениями; фикс разошелся по всем каналам распределения, получил одобрение автора находки, и к концу июня тикет был официально закрыт.

В появлении проблемы был повинен отладочный код, по недосмотру оставшийся в промышленных сборках VPN-клиента для Windows с 12.97 по 12.101.0.2-beta. Из-за этого трафик на порту 3389/TCP (его также использует RDP) не попадал в VPN-туннель с предусмотренным шифрованием.

В итоге IP юзера ExpressVPN и факт RDP-подключения к конкретному серверу могли быть слиты интернет-провайдерам и другим обитателям сети. История посещения сайтов при этом не раскрывалась, компрометация шифрования трафика тоже была невозможна.

Эксплойт уязвимости возможен лишь в том случае, когда автор атаки о ней знает и удастся спровоцировать трафик на порту 3389 — к примеру, заставить намеченную жертву зайти на вредоносный сайт из-под VPN.

Данная угроза актуальна для организаций: RDP в основном используется в корпоративном окружении.

Полтора года назад в ExpressVPN была устранена другая уязвимость раскрытия информации. Реализация функции раздельного туннелирования привнесла баг, из-за которого на сторону сливались DNS-запросы пользователей и, как следствие, история посещения веб-ресурсов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru