Вредоносная кампания атакует российские компании новым бэкдором

Вредоносная кампания атакует российские компании новым бэкдором

Вредоносная кампания атакует российские компании новым бэкдором

Вредоносная кампания, действующая в течение как минимум двух месяцев через электронную почту, нацелена на русскоязычные предприятия и распространяет новый Windows-бэкдор, предупреждает Trend Micro.

В этих атаках используются множество эксплойтов и компонентов Windows для запуска вредоносных скриптов. Самый ранний образец вредоносной программы, связанный с атакой, был загружен на VirusTotal 6 июня 2017 года, далее Trend Micro наблюдала пять случаев рассылки спама с 23 июня по 27 июля 2017 года. Эксперты предполагают, что кампания продолжается.

Целью этих атак являются финансовые учреждения (такие как банки) и горнодобывающие фирмы. Исследователи Trend Micro заметили, что злоумышленники разнообразили свою тактику, отправив разные электронные письма для каждого этапа вредоносной кампании.

Письма выглядят так, как если бы они пришли из отдела продаж, в них содержится вредоносный файл RTF, который использует уязвимость CVE-2017-0199 в OLE-интерфейсе. Эту брешь также используют такие хакерские группы, как Cobalt и CopyKittens.

После выполнения кода эксплойта загружается поддельный файл XLS, в который встроен вредоносный JavaScript. При открытии заголовок Excel игнорируется, и файл обрабатывается как HTML компонентом Windows mshta.exe.

Код JavaScript вызывает стандартный исполняемый файл odbcconf.exe, который активирует различные задачи, связанные с компонентами доступа к данным Microsoft, для запуска библиотеки DLL. После выполнения DLL копирует файл в папку %APPDATA% и добавляет к нему расширение .txt, хотя на самом деле это файл SCT (скрипт Windows), обычно используемый для объявления переменных и добавления функциональных кодов на веб-страницах. Этот файл упакован с вредоносным, обфусцированным JavaScript.

Также DLL-файл вызывает утилиту командной строки Regsvr32 (Microsoft Register Server) для выполнения с определенными параметрами. Этот метод получил название Squiblydoo, он использует Regsvr32 для того, чтобы обойти ограничения на запуск скриптов. Ранее его использовала вьетнамская хакерская группировка APT32.

«Несмотря на то, что метод Squiblydoo является далеко не новым вектором для атаки, мы впервые наблюдали за его применением вместе с odbcconf.exe» - отмечает Trend Micro.

Следующим этапом загружается и выполняется еще один вредоносный XML-файл с домена wecloud[.]biz. Это основной бэкдор, используемый в этой атаке.

Этот бэкдор представляет собой файл SCT с обфусцированным кодом JavaScript внутри, он поддерживает команды, которые, по сути, позволяют злоумышленникам завладеть зараженной системой. Бэкдор пытается подключиться к командному серверу hxxps://wecloud[.]biz/mail/ajax[.]php и получить инструкции.

На основе полученных команд зловред может загружать и выполнять исполняемые файлы и совершать другие вредоносные действия.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

98% безопасников уверены: уровень защищённости их компаний нужно усиливать

«Лаборатория Касперского» провела опрос среди 850 специалистов по кибербезопасности по всему миру — в том числе в России — и выяснила: почти все довольны тем, как сейчас выстроена защита в их компаниях, но считают, что всегда есть, куда расти. 94% респондентов заявили, что в целом довольны уровнем ИБ, но 76% хотят внести небольшие улучшения, а 22% считают, что нужны серьёзные перемены.

Самыми слабыми местами в ИБ-архитектуре участники опроса назвали ручные процессы и «заплаточный» подход к безопасности. 30% тратят слишком много времени на рутину, 29% жалуются, что приходится закрывать уже известные дыры, вместо того чтобы работать на упреждение.

У четверти компаний не хватает специалистов, а 23% сталкиваются с проблемой «зоопарка» защитных решений — много разных инструментов, которыми сложно управлять.

Из-за этого возрастает нагрузка, замедляется реагирование на инциденты и возрастает риск конфигурационных ошибок. Другие слабые места, по мнению опрошенных: потенциальные уязвимости в периметре (22%), сложные ИТ-системы (21%), нехватка актуальной информации о киберугрозах (20%), избыточные уведомления от систем безопасности (18%) и нехватка нужных функций в уже имеющихся решениях (17%).

Все это говорит о потребности в более «умных» и комплексных инструментах защиты. И всё больше компаний понимают: одного антивируса и файрвола давно недостаточно.

Нужен подход, при котором безопасность вшивается в архитектуру изначально — ещё на этапе разработки. Такой подход помогает защитить ключевые активы даже в случае взлома и без гигантских затрат.

Как отмечают в «Лаборатории Касперского», сейчас всё чаще речь идёт не просто о технологиях, а о стратегии. Нужно заранее знать, откуда ждать удар, правильно настраивать процессы, применять лучшие практики и интегрировать решения, которые работают вместе, а не мешают друг другу. Такой подход помогает и защиту усилить, и доверие клиентов сохранить.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru