PostScript используется в атаках с вредоносными вложениями

PostScript используется в атаках с вредоносными вложениями

PostScript используется в атаках с вредоносными вложениями

Hangul Word Processor (HWP) - приложение для обработки текстов, довольно популярное в Южной Корее. В его возможности входит запуск кода PostScript, первоначально используемого для печати и публикации. Поскольку PostScript является полноценным языком программирования, теперь он используется злоумышленниками в атаках с вредоносными вложениями.

Исследователи выяснили, что старые версии HWP ненадлежащим образом реализуют ограничения, накладываемые на PostScript. Соответственно появились вредоносные вложения, содержащие код PostScript.

Цель такой хакерской атаки - использовать PostScript, чтобы загрузить вредоносную программу на компьютер жертвы. Потребность в эксплойте отпадает, так как в этом случае используется функция PostScript.

Письма, используемые в этих атаках, имеют упоминания биткойнов и финансовой безопасности, чтобы убедить жертву открыть документ.

PostScript не имеет возможности выполнять shell-команды, однако может манипулировать файлами. В ходе атаки PostScript переносит файлы в различные папки автозагрузки и ждет, когда пользователь перезагрузит компьютер. Вот несколько сценариев развития событий:

  1. Скрипт копирует ярлык в папку автозагрузки, который затем запускает файл MSHTA.exe для выполнения Javascript.
  2. Копирует ярлык в папку автозагрузки и DLL-файл в папку %Temp%. Ярлык вызывает rundll32.exe для выполнения этого DLL-файла.
  3. Копирует исполняемый файл в папку автозагрузки.

Один из полученных экспертами образцов перезаписывает файл gswin32c.exe легитимной версией Calc.exe. Этот файл является интерпретатором PostScript, используемым HWP. Поскольку интерпретатор перезаписан, это предотвратит выполнение другого встроенного PostScript.

Более поздние версии Hangul Word Processor (вышедшие в 2014 году и позже) корректно реализуют функцию и избавлены от подобного бага. Пользователям рекомендуется перейти на эти версии.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Атаки на авиацию выросли на 42%. Особенно опасны вымогатели и старое ПО

В первом полугодии 2025 года количество кибератак на авиационную отрасль в России выросло на 42% по сравнению с тем же периодом прошлого года. Эксперты связывают это с общей геополитической обстановкой и тем, что авиация остаётся одной из самых уязвимых и привлекательных целей для хакеров — как из-за важности самой отрасли, так и из-за доступа к чувствительным данным.

Авиация в России играет ключевую роль в логистике, особенно в труднодоступных регионах.

Поэтому на неё всё чаще нацеливаются не только хактивисты, но и более серьёзные группировки, действующие, в том числе, в интересах иностранных государств. При этом доля деструктивных атак — когда нарушается работа систем или наносится прямой ущерб — выросла на 26%.

Особенно заметен всплеск атак с использованием программ-вымогателей (ransomware) — их стало больше в пять раз по сравнению с первой половиной 2024 года.

У авиакомпаний есть персональные данные пассажиров, информация о маршрутах, платежные данные, и каждый час простоя — это серьёзные убытки. Поэтому злоумышленники делают ставку на то, что компании предпочтут заплатить выкуп.

Ещё одна проблема — специализированное программное обеспечение, которое используется в отрасли. Оно обновляется реже, чем массовые продукты, из-за строгих требований к стабильности и сертификации.

В результате старые уязвимости остаются открытыми дольше, чем следовало бы. По оценкам специалистов, 60% атак в 2025 году были связаны именно с такими компонентами.

Эксперты отмечают, что отрасли стоит уделять больше внимания мониторингу и защите, особенно с учётом того, насколько чувствительны кибератаки для критически важных процессов в авиации.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru