Вредоносная кампания атакует российские компании новым бэкдором

Вредоносная кампания атакует российские компании новым бэкдором

Вредоносная кампания атакует российские компании новым бэкдором

Вредоносная кампания, действующая в течение как минимум двух месяцев через электронную почту, нацелена на русскоязычные предприятия и распространяет новый Windows-бэкдор, предупреждает Trend Micro.

В этих атаках используются множество эксплойтов и компонентов Windows для запуска вредоносных скриптов. Самый ранний образец вредоносной программы, связанный с атакой, был загружен на VirusTotal 6 июня 2017 года, далее Trend Micro наблюдала пять случаев рассылки спама с 23 июня по 27 июля 2017 года. Эксперты предполагают, что кампания продолжается.

Целью этих атак являются финансовые учреждения (такие как банки) и горнодобывающие фирмы. Исследователи Trend Micro заметили, что злоумышленники разнообразили свою тактику, отправив разные электронные письма для каждого этапа вредоносной кампании.

Письма выглядят так, как если бы они пришли из отдела продаж, в них содержится вредоносный файл RTF, который использует уязвимость CVE-2017-0199 в OLE-интерфейсе. Эту брешь также используют такие хакерские группы, как Cobalt и CopyKittens.

После выполнения кода эксплойта загружается поддельный файл XLS, в который встроен вредоносный JavaScript. При открытии заголовок Excel игнорируется, и файл обрабатывается как HTML компонентом Windows mshta.exe.

Код JavaScript вызывает стандартный исполняемый файл odbcconf.exe, который активирует различные задачи, связанные с компонентами доступа к данным Microsoft, для запуска библиотеки DLL. После выполнения DLL копирует файл в папку %APPDATA% и добавляет к нему расширение .txt, хотя на самом деле это файл SCT (скрипт Windows), обычно используемый для объявления переменных и добавления функциональных кодов на веб-страницах. Этот файл упакован с вредоносным, обфусцированным JavaScript.

Также DLL-файл вызывает утилиту командной строки Regsvr32 (Microsoft Register Server) для выполнения с определенными параметрами. Этот метод получил название Squiblydoo, он использует Regsvr32 для того, чтобы обойти ограничения на запуск скриптов. Ранее его использовала вьетнамская хакерская группировка APT32.

«Несмотря на то, что метод Squiblydoo является далеко не новым вектором для атаки, мы впервые наблюдали за его применением вместе с odbcconf.exe» - отмечает Trend Micro.

Следующим этапом загружается и выполняется еще один вредоносный XML-файл с домена wecloud[.]biz. Это основной бэкдор, используемый в этой атаке.

Этот бэкдор представляет собой файл SCT с обфусцированным кодом JavaScript внутри, он поддерживает команды, которые, по сути, позволяют злоумышленникам завладеть зараженной системой. Бэкдор пытается подключиться к командному серверу hxxps://wecloud[.]biz/mail/ajax[.]php и получить инструкции.

На основе полученных команд зловред может загружать и выполнять исполняемые файлы и совершать другие вредоносные действия.

В Нижневартовске сломался «Умный транспорт»: автобусы исчезли с карты

Жители Нижневартовска неожиданно остались без привычного способа отслеживать автобусы. В городе произошёл сбой в работе приложения «Умный транспорт», из-за чего на карте перестал отображаться общественный транспорт.

Как сообщает телеграм-канал «Транспортный цех», при попытке воспользоваться сервисом пользователи видят практически пустую карту, автобусы на ней просто отсутствуют. Нет автобусов — нет и понимания, через сколько они приедут.

В компании «Домтрансавто», которая является основным перевозчиком города, подтвердили наличие проблемы. По словам представителей перевозчика, причиной стал временный технический сбой.

Сейчас специалисты занимаются поиском и устранением неполадок. В компании заверили, что проблема затронула только приложение для отслеживания транспорта, а сами автобусы продолжают работать в обычном режиме.

Общественный транспорт по улицам ездит, просто цифровая витрина внезапно перестала показывать, где именно он находится.

Пока сервис восстанавливают, пассажирам предлагают пользоваться альтернативными приложениями. В качестве примера называют «Яндекс Карты», где движение автобусов по-прежнему отображается.

Ситуация в очередной раз напоминает, насколько сильно жители городов привыкли к цифровым сервисам. Ещё несколько лет назад люди спокойно выходили на остановку и ждали автобус по расписанию. Сегодня исчезновение иконок на карте вызывает почти такой же уровень тревоги, как отсутствие самих автобусов.

Когда именно «Умный транспорт» вернётся к нормальной работе, пока не сообщается.

На фоне этого любопытно выглядит опыт соседнего Сургута. Ранее городские власти заключили соглашение с компанией 2ГИС, благодаря чему жители могут отслеживать движение автобусов и смотреть расписание прямо в картографическом сервисе.

RSS: Новости на портале Anti-Malware.ru