FireEye: Зловред FINSPY атакует русскоязычных пользователей

FireEye: Зловред FINSPY атакует русскоязычных пользователей

Специалисты FireEye недавно обнаружили вредоносный документ Microsoft Office RTF, эксплуатирующий уязвимость CVE-2017-8759. Эта брешь позволяет злоумышленнику ввести произвольный код во время парсинга SOAP WSDL.

Эксперты FireEye проанализировали документ Microsoft Word, в котором злоумышленники использовали произвольную инъекцию кода для загрузки и выполнения сценария Visual Basic, содержащего команды PowerShell. После этого FireEye поделилась информацией с Microsoft и приурочила ее раскрытие к выпуску соответствующего патча. В свою очередь Microsoft опубликовала рекомендации, которые можно найти здесь.

Исследователи пришли к выводу, что эта брешь использовалась в атаках на русскоязычных пользователей. Этот вывод можно сделать из имени вредоносного документа – «Проект.doc» (MD5: fe5c4d6bb78e170abf5cf3741868ea4c). После успешной эксплуатации CVE-2017-8759 документ загружает несколько компонентов, а в конечном итоге запускает вредоносную нагрузку FINSPY (MD5: a7b990d5f57b244dd17e9a937a41e7f5).

Вредоносная программа FINSPY, также известная как FinFisher или WingBird, в настоящий момент доступна для приобретения на форумах соответствующей тематики. По заявлениям экспертов, этот вредоносный документ использовался государством для атак на русскоязычных пользователей, целью которых являлся кибер-шпионаж.

Уязвимость инъекции кода существует в модуле парсера WSDL в методе PrintClientProxy. Это позволяет злоумышленнику вводить и выполнять произвольный код. Часть уязвимого кода показана на картинке ниже.

Атаки, которые FireEye наблюдал в реальных инцидентах, использовали документ Rich Text Format (RTF). Во вредоносных образцах содержались встроенные прошивки SOAP для облегчения эксплуатации.

После успешной эксплуатации вредоносный код создает новый процесс и использует mshta.exe для извлечения HTA-скрипта с именем «word.db» с сервера злоумышленника. Скрипт HTA удаляет исходный код, скомпилированную DLL и файлы PDB с диска, а затем загружает и запускает вредоноса FINSPY с именем left.jpg, который, несмотря на расширение, является исполняемым файлом.

Left.jpg (md5: a7b990d5f57b244dd17e9a937a41e7f5) использует сильно обфусцированный код, в котором есть встроенная функция анти-анализа, что серьезно затрудняет его исследование.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Сбой Cloudflare привел к недоступности миллионов сайтов по всему миру

Сбой в работе систем Cloudflare затронул сайты по всему миру. В настоящее время проблема устранена, однако многие пользователи могли столкнуться с недоступностью некоторых популярных сайтов.

По статистике Cloudflare, более 16 миллионов веб-ресурсов используют сервисы компании для повышения производительности, защиты от DDoS и других полезных функций.

Отталкиваясь от этой цифры, можно предположить, что сбой Cloudflare повлиял на работу большого количества сайтов в Сети. Известно, что BleepingComputer стал жертвой этого инцидента. Представители ресурса, посвященного кибербезопасности, уже подтвердили эту информацию.

Cloudflare опубликовала посвященный сбою отчет, который озаглавлен «Route Leak Impacting Cloudflare». Из материала можно понять, что причина инцидента кроется в утечке BGP-маршрута.

Это привело к тому, что трафик проходил через некорректные сети, что вылилось в плохую производительность, проблемы с маршрутизацией и как эпилог — сбою в работе зависящих от сервисов Cloudflare сайтов.

Ответственные лица заявили, что все проблемы устранены, стало быть, в настоящий момент все ресурсы должны работать в штатном режиме.

Тем не менее на момент написания материала Anti-Malware.ru сайт BleepingComputer был недоступен:

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru