0-day уязвимость в Telegram используется для заражения пользователей

0-day уязвимость в Telegram используется для заражения пользователей

Исследователи «Лаборатории Касперского» обнаружили случаи эксплуатации уязвимости в клиенте мессенджера Telegram для Windows. По сведениям экспертов, злоумышленники использовали брешь как минимум с марта 2017 года, распространяя через нее вредоносное ПО. «Лаборатория Касперского» уведомила разработчиков мессенджера о проблеме, на сегодняшний день уязвимость закрыта.

Уязвимость заключалась в использовании так называемой атаки right-to-left override (RLO). RLO — особый непечатный символ кодировки Unicode, который зеркально отражает направление расположенных далее знаков. Обычно он используется при работе с языками, в которых текст идет справа налево, например, с арабским языком или ивритом. Однако злоумышленники могут его использовать для того, чтобы вводить в заблуждение пользователей: RLO меняет порядок символов в названии файла, а значит, и его расширение. Таким образом жертвы скачивали вредоносное ПО под видом, например, изображения, и сами запускали его, даже не подозревая, что это исполняемый файл.

Эксперты «Лаборатории Касперского» определили несколько целей злоумышленников. Для достижения первой киберпреступники использовали уязвимость для доставки бэкдора. В результате хакеры получали удаленный доступ к компьютеру жертвы. В качестве командного протокола ПО использовало Telegram API. После установки бэкдор работал в скрытом режиме, ничем не обнаруживая себя. При этом он выполнял различные команды злоумышленников, включая дальнейшую установку шпионского ПО.

Вторая цель — уязвимость эксплуатировалась для распространения ПО для майнинга. Используя вычислительные возможности компьютера жертвы, преступники добывали различные криптовалюты, такие как Monero, Zcash, Fantomcoin и другие.

Кроме того, на серверах злоумышленников аналитики обнаружили архивы с локальным кэшем Telegram, который преступники выкачивали у жертв. Каждый из них, кроме исполняемых и служебных файлов приложения, содержал в зашифрованном виде различные материалы пользователя, задействованные в переписке: документы, аудио-  и видеозаписи, фотографии.

Артефакты, обнаруженные исследователями, позволяют предположить русскоязычное происхождение преступников. По нашим данным, все случаи эксплуатации уязвимости были зафиксированы в России.

«Популярность мессенджеров сегодня невероятно высока. Поэтому разработчикам очень важно обеспечивать надежную защиту пользователей, чтобы те не стали легкой мишенью для преступников. Мы нашли сразу несколько сценариев использования уязвимости, через которую, помимо шпионского ПО, распространялись и майнеры, ставшие глобальным трендом, который мы наблюдаем в течение всего периода «криптовалютного бума». Не исключено, что были и другие, более таргетированные сценарии использования этой уязвимости», — отметил Алексей Фирш, антивирусный эксперт «Лаборатории Касперского».

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Исследование: кибератаки все чаще носят целенаправленный характер

Эксперты Positive Technologies подвели итоги третьего квартала 2019 года. В числе главных тенденций отмечены рост количества уникальных киберинцидентов, высокая активность APT-кибергруппировок, специализирующихся на целенаправленных атаках, а также двукратное преобладание доли кибератак, направленных на кражу информации, над долей финансово мотивированных кампаний.

Главный тренд — преобладание целенаправленных атак над массовыми. Их доля составляет 65% против 59% во II квартале. Наибольший интерес для злоумышленников представляют государственные учреждения, промышленные компании, финансовый сектор и сфера науки и образования.

На протяжении III квартала эксперты PT Expert Security Center (PT ESC) регулярно фиксировали атаки APT-группы TA505. В арсенале группировки банковский троян Dridex, шифровальщик Cryptomix, код которого подписан сертификатами, выданными на подставные юрлица, трояны для удаленного управления ServHelper и FlawedAmmyy, а также плагин Upxxec, способный детектировать и отключать большое число антивирусных средств защиты. Кроме того, специалисты PT ESC зафиксировали кибератаки APT-групп RTM, Cobalt, Bronze Union, APT-C-35, KONNI, Gamaredon и других.

В прошедшем квартале доля кибератак, направленных на кражу информации, выросла до 61% в атаках на юридические лица и до 64% в атаках на частных лиц (58% и 55% во втором квартале). При этом доля финансово мотивированных кампаний не превышает 31%.

При атаках на юридические лица четверть от общего объема похищенной информации составляют персональные данные. Каждая пятая атака была направлена против частных лиц, при этом почти половина (47%) всех украденных у них данных — это учетные данные в различных системах (логины и пароли).

Эксперты Positive Technologies зафиксировали снижение доли атак с применением майнеров криптовалюты — до 3% в случае организаций и до 2% в кампаниях, нацеленных на частных лиц. Этот факт может быть связан с постепенным переходом злоумышленников на ВПО, которое способно выполнять сразу несколько функций. Например, троян Clipsa умеет скрытно «майнить» криптовалюту, воровать пароли, подменять адреса криптокошельков, а также запускать брутфорс-атаки против сайтов на базе WordPress.

«По прежнему популярны методы социальной инженерии: в третьем квартале доля атак на юрлица с их применением выросла почти вдвое — до 69% (с 37% в предыдущем квартале), — говорит аналитик Positive Technologies Яна Авезова. — В 81% случаев заражение инфраструктуры компаний вредоносным ПО начинается с фишингового письма».

Растет доля заражений вредоносным ПО. Три четверти атак на юридические лица и 62% атак на частных лиц сопровождались заражениями различного рода зловредами. Если заражение инфраструктуры компании начинается, как правило, с фишингового письма, то частные лица чаще становятся жертвами в результате посещения скомпрометированных веб-ресурсов (в 35% атак против частных лиц).

Также эксперты Positive Technologies обнаружили, что в конце лета после нескольких месяцев затишья возобновил активность один из крупнейших ботнетов в мире под названием Emotet. Операторы ботнета работают по схеме malware as a service (MaaS) и предоставляют киберпреступникам доступ к компьютерам, зараженным Emotet, для их дальнейшего инфицирования другими вредоносами, например Trickbot или Ryuk.

По оценкам исследователей, информация о большинстве кибератак на организации не предается огласке из-за репутационных рисков. Эксперты Positive Technologies регулярно публикуют собственную статистику и результаты исследований с целью обратить внимание организаций и обычных граждан на наиболее актуальные методы и мотивы кибератак, а также с целью выявить основные тенденции в изменении ландшафта киберугроз.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru