Похищающий информацию вредонос FormBook атакует США и Южную Корею

Похищающий информацию вредонос FormBook атакует США и Южную Корею

Похищающий информацию вредонос FormBook атакует США и Южную Корею

В течение последних нескольких месяцев специалисты компании FireEye наблюдали несколько крупномасштабных рекламных кампаний, распространяющих вредоноса FormBook. FormBook славится тем, что похищает важную информацию, в данном случае он был нацелен на авиационно-космическую и производственную сферы США и Южной Кореи.

Зловред FormBook доставляется пользователям через электронную почту в нескольких видах:

  • PDF-файлы с ссылками на скачивание
  • Файлы DOC и XLS, содержащие вредоносные макросы
  • Архивы ZIP, RAR, ACE и ISO, внутри которых располагается exe-файл

PDF и DOC/XLS были замечена в атаках на США, когда архивы рассылались как в США, так и в Южную Корею. К слову, FormBook рекламировался на различных хакерских форумах с начала 2016 года.

Вредоносная программа внедряется в различные процессы, записывает нажатие клавиш и извлекает информацию из HTTP-сессий жертвы. Также предусмотрено выполнение команд, поступающих от сервера злоумышленников, в их перечень входит загрузка и запуск файлов, запуск процессов, завершение работы или перезагрузка системы, а также кража файлов cookie и локальных паролей.

Одной из наиболее интересных функций FormBook является считывание модуля Windows ntdll.dll и прямой вызов его функций, что делает перехват уровня пользователями неэффективным. Также зловред отличается тем, что случайным образом изменяет путь, имя файла, расширение файла и раздел реестра, используемый для сохранения, чтобы обеспечить себе долгое присутствие в системе.

Возможности FormBook включают:

  • Логирование нажатий клавиш
  • Мониторинг буфера обмена
  • Получение информации из HTTP/HTTPS/SPDY/HTTP2-форм
  • Кража паролей из браузеров и почтовых клиентов
  • Снятие скриншотов

FormBook может получать следующие удаленные команды с сервера злоумышленников:

  • Обновить бота в системе
  • Загрузить и выполнить файл
  • Удалить бот из хост-системы
  • Запустить команду через ShellExecute
  • Очистить файлы cookies браузера
  • Перезагрузить систему
  • Выключить систему
  • Собрать пароли и сделать скриншот
  • Загрузить и распаковать ZIP-архив

Сервер киберпреступников находится, как правило, в следующих доменах верхнего уровня: .site, .website, .tech, .online и .info. Инфраструктура сервера размещена на украинском хостинге BlazingFast.io.

Конфиденциальные данные, собранные с помощью FormBook, могут использоваться для дополнительных действий киберпреступников, например, для вымогательства или мошенничества с банками.

Россиянам за рубежом блокируют доступ к сайтам и приложениям

Российские туристы всё чаще сталкиваются с тем, что не могут открыть некоторые российские сайты и приложения при подключении к публичным сетям Wi-Fi за рубежом. В результате у части пользователей возникают сложности, например, при покупке билетов через российские онлайн-агрегаторы.

О проблеме сообщило издание Msk Online со ссылкой на Ассоциацию туроператоров России (АТОР).

В свою очередь, в АТОР сослались на жалобы клиентов туркомпаний. Там связали такие сложности с противодействием средствам обхода блокировок: в отдельных случаях популярные ресурсы и приложения могут не открываться при включённом VPN.

Так, один из туристов рассказал о проблемах, с которыми столкнулся в Турции. Подключившись к Wi-Fi в отеле, он не смог воспользоваться приложением агрегатора и открыть сайт авиакомпании, чтобы купить обратный билет. При этом при подключении к другой сети оба сервиса работали корректно.

По данным АТОР, проблема не носит массового характера и пока не считается критичной. Она проявляется не во всех странах, а пользователи, как правило, могут найти альтернативный способ подключения, при котором сервисы работают нормально. В ассоциации порекомендовали туристам не откладывать важные действия на последний момент, брать с собой наличные в валюте, распечатывать важные документы на случай сбоев и учитывать, что привычные цифровые сервисы за рубежом могут работать нестабильно.

RSS: Новости на портале Anti-Malware.ru