Microsoft: Windows Defender ATP может детектировать FinFisher

Microsoft: Windows Defender ATP может детектировать FinFisher

Microsoft: Windows Defender ATP может детектировать FinFisher

Агент Advanced Threat Protection (ATP) в Защитнике Windows способен обнаруживать поведение, связанное со сложной шпионской программой FinFisher. Об этом сообщила корпорация Microsoft после углубленного изучения процесса заражения этой вредоносной программой.

FinFisher (FinSpy) – шпионская программа, разработанная компанией Gamma Group International, которая ранее продавалась правоохранительным органам и правительственным структурам по всему миру. В программе предусмотрен широкий спектр возможностей для слежки через веб-камеру и микрофон, а также функции кейлоггинга (перехват нажатия клавиш), кражи файлов, прослушивания через Skype и др.

Для распространения FinFisher используются различные механизмы заражения, включая целевой фишинг, установку вручную (если у атакующих есть физический доступ к устройству), уязвимости нулевого дня и watering hole атаки (заражение сайтов, которые предположительно посещают потенциальные жертвы).

По словам специалистов компании Microsoft, FinFisher представляет собой достаточно сложную вредоносную программу, требующую специальных методов обнаружения. Однако, несмотря на сложность FinFisher, она все-таки может быть обнаружена.

Утверждается, что Office 365 ATP (Office 365 Advanced Threat Protection) и Windows Defender ATP способны детектировать FinFisher. Напомним, что на системы Windows 7 и Windows 8.1 эти средства защиты планируется установить этим летом.

Эксперты Microsoft утверждают, что FinFisher было не так легко проанализировать из-за специально реализованных функций антианализа, например, так называемого «спагети-кода» (spaghetti code) и многоуровневого детектирования виртуальной машины.

Авторы FinFisher добились того, что код программы крайне трудно читать, что создает проблемы для обратного инжиниринга.

Как обнаружила компания, первой ступенью FinFisher является загрузчик, предназначенный для обнаружения песочницы. Если начальный набор проверок успешно выполнен, загрузчик считывает четыре импортированные библиотеки с диска (ntdll.dll, kernel32.dll, advapi32.dll и version.dll) и переназначает их в памяти.

Затем вредонос выполняет дополнительную проверку наличия песочницы, пытаясь избежать конкретной изолированной программной среды или продуктов безопасности, а также проверяет наличие виртуализированных сред (VMWare или Hyper-V) и работает ли он под отладчиком. Только если все эти проверки пройдены, загрузчик переходит к следующему шагу.

«Следующим шагом 32-разрядная версия вредоноса использует индивидуальный механизм загрузки и экспортирует только одну функцию. 64-разрядная версия извлекает пейлоад из загрузчика, используя хорошо всем известную технику Heaven’s Gate», — объясняет Microsoft.

Напомним, что в прошлом году лаборатория ESET обнаружила новые операции кибершпионажа с использованием вредоносной программы FinFisher в семи странах мира.

Свинцова исключили из ЛДПР после скандала вокруг блокировки Telegram

Депутата Госдумы и заместителя председателя комитета по информационной политике Андрея Свинцова исключили из ЛДПР за «действия, порочащие репутацию партии». Так в партии охарактеризовали его резонансные выступления на тему блокировок Telegram. Попытки депутата перейти в другие политические силы, как сообщается, успехом не увенчались.

О том, что руководству ЛДПР и лично лидеру партии Леониду Слуцкому не нравится поведение Свинцова, «Ведомости» со ссылкой на источники сообщили ещё в понедельник.

Основной причиной недовольства назывались резонансные заявления депутата в поддержку блокировки Telegram. При этом в начале года его высказывания на эту тему были значительно более нейтральными.

«Решением Президиума Высшего Совета ЛДПР от 18 марта 2026 года депутат Свинцов А.Н. исключен из Либерально-демократической партии России в связи с совершением им действий, порочащих репутацию ЛДПР, массовыми жалобами со стороны жителей России, а также требованиями со стороны всех партийных региональных отделений. Решение по данному вопросу было принято единогласно без предварительных совещаний», — сообщила вечером 18 марта пресс-секретарь лидера фракции ЛДПР Элеонора Кавшар.

В интервью телеканалу RTVI Леонид Слуцкий назвал действия Свинцова «хайпожорством». Его дальнейшую политическую судьбу лидер фракции охарактеризовал как «никакую».

Попытки найти «запасной аэродром» Андрей Свинцов, как утверждается, предпринимал в течение нескольких месяцев. Как сообщили сегодня «Ведомости», ещё несколько месяцев назад он пытался перейти в другие фракции, в том числе в «Справедливую Россию» и «Новые люди». Однако эти попытки не увенчались успехом из-за его «токсичности»

Политолог Константин Калачев назвал такой переход «когнитивным диссонансом» и оценил его вероятность как практически нулевую.

RSS: Новости на портале Anti-Malware.ru