Microsoft: Windows Defender ATP может детектировать FinFisher

Microsoft: Windows Defender ATP может детектировать FinFisher

Microsoft: Windows Defender ATP может детектировать FinFisher

Агент Advanced Threat Protection (ATP) в Защитнике Windows способен обнаруживать поведение, связанное со сложной шпионской программой FinFisher. Об этом сообщила корпорация Microsoft после углубленного изучения процесса заражения этой вредоносной программой.

FinFisher (FinSpy) – шпионская программа, разработанная компанией Gamma Group International, которая ранее продавалась правоохранительным органам и правительственным структурам по всему миру. В программе предусмотрен широкий спектр возможностей для слежки через веб-камеру и микрофон, а также функции кейлоггинга (перехват нажатия клавиш), кражи файлов, прослушивания через Skype и др.

Для распространения FinFisher используются различные механизмы заражения, включая целевой фишинг, установку вручную (если у атакующих есть физический доступ к устройству), уязвимости нулевого дня и watering hole атаки (заражение сайтов, которые предположительно посещают потенциальные жертвы).

По словам специалистов компании Microsoft, FinFisher представляет собой достаточно сложную вредоносную программу, требующую специальных методов обнаружения. Однако, несмотря на сложность FinFisher, она все-таки может быть обнаружена.

Утверждается, что Office 365 ATP (Office 365 Advanced Threat Protection) и Windows Defender ATP способны детектировать FinFisher. Напомним, что на системы Windows 7 и Windows 8.1 эти средства защиты планируется установить этим летом.

Эксперты Microsoft утверждают, что FinFisher было не так легко проанализировать из-за специально реализованных функций антианализа, например, так называемого «спагети-кода» (spaghetti code) и многоуровневого детектирования виртуальной машины.

Авторы FinFisher добились того, что код программы крайне трудно читать, что создает проблемы для обратного инжиниринга.

Как обнаружила компания, первой ступенью FinFisher является загрузчик, предназначенный для обнаружения песочницы. Если начальный набор проверок успешно выполнен, загрузчик считывает четыре импортированные библиотеки с диска (ntdll.dll, kernel32.dll, advapi32.dll и version.dll) и переназначает их в памяти.

Затем вредонос выполняет дополнительную проверку наличия песочницы, пытаясь избежать конкретной изолированной программной среды или продуктов безопасности, а также проверяет наличие виртуализированных сред (VMWare или Hyper-V) и работает ли он под отладчиком. Только если все эти проверки пройдены, загрузчик переходит к следующему шагу.

«Следующим шагом 32-разрядная версия вредоноса использует индивидуальный механизм загрузки и экспортирует только одну функцию. 64-разрядная версия извлекает пейлоад из загрузчика, используя хорошо всем известную технику Heaven’s Gate», — объясняет Microsoft.

Напомним, что в прошлом году лаборатория ESET обнаружила новые операции кибершпионажа с использованием вредоносной программы FinFisher в семи странах мира.

Предполагаемый ботовод IcedID инсценировал свою смерть — не помогло

Украинец, разыскиваемый ФБР по делу о распространении трояна IcedID, попытался избежать экстрадиции в США, подкупив полицейских, чтобы те помогли ему попасть в списки умерших. Трюк сработал, но ненадолго.

Как пишет Cybernews со ссылкой на украинский Реестр исполнительных производств, хитрец допустил ошибку: после регистрации смерти киевским ЗАГС (по подложным документам) он остался в Ужгороде, по месту постоянной прописки, и в итоге был пойман.

Как выяснилось, оборотням в погонах удалось выдать за благодетеля безвестный труп, подменив идентификационные данные. Перед этим заказчик предусмотрительно переписал все свое имущество на родственников и знакомых.

Его опасения были не напрасны: через месяц стало известно об успехе Operation Endgame, очередного международного похода против ботнетов, созданных на основе особо агрессивных зловредов, в том числе банковского трояна IcedID.

Поиск подозреваемого после его мнимой смерти был прекращен, однако украинец в итоге чем-то привлек внимание правоохраны. Дело было вновь открыто, к повторному изучению свидетельств, раздобытых Интерполом и ФБР, были привлечены сторонние криминалисты и аналитики, и в итоге следствие пришло к выводу, что фигурант жив.

Триумфальное задержание произошло в конце 2025 года, однако обманщик даже тогда попытался выдать себя за другое лицо, предъявив фальшивые документы.

На его дом, автомобили и парковки наложен арест. Ввиду вероятности побега подозреваемого суд определил размер залога как $9,3 миллиона.

RSS: Новости на портале Anti-Malware.ru