Похищающий информацию вредонос FormBook атакует США и Южную Корею

Похищающий информацию вредонос FormBook атакует США и Южную Корею

Похищающий информацию вредонос FormBook атакует США и Южную Корею

В течение последних нескольких месяцев специалисты компании FireEye наблюдали несколько крупномасштабных рекламных кампаний, распространяющих вредоноса FormBook. FormBook славится тем, что похищает важную информацию, в данном случае он был нацелен на авиационно-космическую и производственную сферы США и Южной Кореи.

Зловред FormBook доставляется пользователям через электронную почту в нескольких видах:

  • PDF-файлы с ссылками на скачивание
  • Файлы DOC и XLS, содержащие вредоносные макросы
  • Архивы ZIP, RAR, ACE и ISO, внутри которых располагается exe-файл

PDF и DOC/XLS были замечена в атаках на США, когда архивы рассылались как в США, так и в Южную Корею. К слову, FormBook рекламировался на различных хакерских форумах с начала 2016 года.

Вредоносная программа внедряется в различные процессы, записывает нажатие клавиш и извлекает информацию из HTTP-сессий жертвы. Также предусмотрено выполнение команд, поступающих от сервера злоумышленников, в их перечень входит загрузка и запуск файлов, запуск процессов, завершение работы или перезагрузка системы, а также кража файлов cookie и локальных паролей.

Одной из наиболее интересных функций FormBook является считывание модуля Windows ntdll.dll и прямой вызов его функций, что делает перехват уровня пользователями неэффективным. Также зловред отличается тем, что случайным образом изменяет путь, имя файла, расширение файла и раздел реестра, используемый для сохранения, чтобы обеспечить себе долгое присутствие в системе.

Возможности FormBook включают:

  • Логирование нажатий клавиш
  • Мониторинг буфера обмена
  • Получение информации из HTTP/HTTPS/SPDY/HTTP2-форм
  • Кража паролей из браузеров и почтовых клиентов
  • Снятие скриншотов

FormBook может получать следующие удаленные команды с сервера злоумышленников:

  • Обновить бота в системе
  • Загрузить и выполнить файл
  • Удалить бот из хост-системы
  • Запустить команду через ShellExecute
  • Очистить файлы cookies браузера
  • Перезагрузить систему
  • Выключить систему
  • Собрать пароли и сделать скриншот
  • Загрузить и распаковать ZIP-архив

Сервер киберпреступников находится, как правило, в следующих доменах верхнего уровня: .site, .website, .tech, .online и .info. Инфраструктура сервера размещена на украинском хостинге BlazingFast.io.

Конфиденциальные данные, собранные с помощью FormBook, могут использоваться для дополнительных действий киберпреступников, например, для вымогательства или мошенничества с банками.

Штрафы до 1 млн: Минцифры ужесточает правила продажи сим-карт

Минцифры предлагает заметно ужесточить правила игры для операторов связи. Речь идёт сразу о двух болевых точках: продаже сим-карт в неположенных местах и стабильной работе государственной системы «Антифрод», которая должна отсекать мошеннические звонки. Соответствующий законопроект уже одобрен правительственной комиссией по законопроектной деятельности и в ближайшее время будет внесён в Госдуму.

Как подтвердили «Ведомостям» в Минцифры, поправки в КоАП подготовлены по поручению президента и направлены на усиление борьбы с телефонным мошенничеством.

Сейчас за заключение договора на услуги связи способом, не предусмотренным законом, операторам грозит штраф от 300 тыс. до 500 тыс. рублей. Минцифры предлагает поднять планку — от 500 тыс. до 1 млн рублей.

Формально ответственность за продажу сим-карт в нестационарных местах (палатках, лотках и т. п.) существует уже сейчас, напоминают юристы. Но новые поправки увеличивают максимальный размер штрафов, делая такие нарушения куда более чувствительными для бизнеса.

При этом список «разрешённых» мест продажи сим-карт давно закреплён в законе: это офисы операторов и дилеров, а также стационарные торговые объекты. С 1 сентября 2025 года такие точки дополнительно должны быть оборудованы видеонаблюдением с хранением записей не менее 30 дней.

Вторая часть законопроекта касается ГИС «Антифрод». Если сейчас операторы обязаны следить за работой узлов верификации в момент подключения к системе, то Минцифры предлагает ввести требование круглосуточного и непрерывного функционирования.

Повод для этого более чем весомый: только за 2025 год из-за недоступности узлов верификации более 113 млн звонков прошли без проверки, следует из материалов к законопроекту.

При этом в законодательстве до сих пор не было прямой обязанности обеспечивать постоянную работу этих узлов — как и отдельной ответственности за сбои. Новый закон должен закрыть этот пробел.

Сейчас штрафы за неподключение к «Антифроду» составляют:

  • для должностных лиц — от 50 тыс. до 100 тыс. рублей;
  • для ИП — от 400 тыс. до 800 тыс. рублей;
  • для юрлиц — от 600 тыс. до 1 млн рублей.

Юристы предупреждают: требования к продаже сим-карт и бесперебойной работе «Антифрода» фактически перекладывают на операторов функции публичного контроля. Им приходится отвечать не только за свои системы, но и за действия агентов, партнёров и технические сбои.

Особые вопросы вызывает онлайн-продажа сим-карт. В Минцифры подчёркивают: она допустима, если речь идёт о комплектах самоактивации с обязательной идентификацией — через биометрию, «Госключ» или усиленную электронную подпись. Но юристы не исключают, что часть продаж через маркетплейсы может оказаться в «серой зоне», если правила не будут дополнительно уточнены.

Если законопроект будет принят, он вступит в силу 1 сентября 2026 года. Эксперты ожидают, что ужесточение требований приведёт к росту издержек операторов, пересмотру каналов продаж и, возможно, ускорит переход рынка в сторону eSIM.

При этом юристы не исключают и побочный эффект: мелкие операторы могут просто не потянуть новые требования, что со временем усилит концентрацию рынка. В Минцифры же подчёркивают, что цель изменений — снижение анонимности и реальная борьба с киберпреступностью, а не давление на бизнес.

RSS: Новости на портале Anti-Malware.ru