Microsoft: Windows Defender ATP может детектировать FinFisher

Microsoft: Windows Defender ATP может детектировать FinFisher

Microsoft: Windows Defender ATP может детектировать FinFisher

Агент Advanced Threat Protection (ATP) в Защитнике Windows способен обнаруживать поведение, связанное со сложной шпионской программой FinFisher. Об этом сообщила корпорация Microsoft после углубленного изучения процесса заражения этой вредоносной программой.

FinFisher (FinSpy) – шпионская программа, разработанная компанией Gamma Group International, которая ранее продавалась правоохранительным органам и правительственным структурам по всему миру. В программе предусмотрен широкий спектр возможностей для слежки через веб-камеру и микрофон, а также функции кейлоггинга (перехват нажатия клавиш), кражи файлов, прослушивания через Skype и др.

Для распространения FinFisher используются различные механизмы заражения, включая целевой фишинг, установку вручную (если у атакующих есть физический доступ к устройству), уязвимости нулевого дня и watering hole атаки (заражение сайтов, которые предположительно посещают потенциальные жертвы).

По словам специалистов компании Microsoft, FinFisher представляет собой достаточно сложную вредоносную программу, требующую специальных методов обнаружения. Однако, несмотря на сложность FinFisher, она все-таки может быть обнаружена.

Утверждается, что Office 365 ATP (Office 365 Advanced Threat Protection) и Windows Defender ATP способны детектировать FinFisher. Напомним, что на системы Windows 7 и Windows 8.1 эти средства защиты планируется установить этим летом.

Эксперты Microsoft утверждают, что FinFisher было не так легко проанализировать из-за специально реализованных функций антианализа, например, так называемого «спагети-кода» (spaghetti code) и многоуровневого детектирования виртуальной машины.

Авторы FinFisher добились того, что код программы крайне трудно читать, что создает проблемы для обратного инжиниринга.

Как обнаружила компания, первой ступенью FinFisher является загрузчик, предназначенный для обнаружения песочницы. Если начальный набор проверок успешно выполнен, загрузчик считывает четыре импортированные библиотеки с диска (ntdll.dll, kernel32.dll, advapi32.dll и version.dll) и переназначает их в памяти.

Затем вредонос выполняет дополнительную проверку наличия песочницы, пытаясь избежать конкретной изолированной программной среды или продуктов безопасности, а также проверяет наличие виртуализированных сред (VMWare или Hyper-V) и работает ли он под отладчиком. Только если все эти проверки пройдены, загрузчик переходит к следующему шагу.

«Следующим шагом 32-разрядная версия вредоноса использует индивидуальный механизм загрузки и экспортирует только одну функцию. 64-разрядная версия извлекает пейлоад из загрузчика, используя хорошо всем известную технику Heaven’s Gate», — объясняет Microsoft.

Напомним, что в прошлом году лаборатория ESET обнаружила новые операции кибершпионажа с использованием вредоносной программы FinFisher в семи странах мира.

Xello Datacube вошла в реестр отечественного ПО

Платформу Xello Datacube включили в Единый реестр российских программ для ЭВМ и баз данных. Согласно приказу Минцифры от 4 августа 2026 года, продукт зарегистрирован в классе средств централизованного управления конечными устройствами.

Xello Datacube предназначена для защищённого удалённого доступа к корпоративной информации по модели Zero Trust.

На пользовательском устройстве платформа создаёт изолированное и зашифрованное пространство, параметры которого централизованно задаёт администратор.

Документы, появившиеся внутри такой среды, должны там и оставаться. Их нельзя скопировать или отправить через электронную почту, мессенджеры и другие внешние каналы.

Подход призван снизить риск утечек как из-за действий сотрудников, так и в результате атак. Корпоративные данные получают отдельную комнату без запасного выхода — по крайней мере, так задумана архитектура.

Платформа использует встроенные механизмы операционной системы и не требует запуска виртуальных машин, отдельных контейнеров или облачной инфраструктуры. Это должно уменьшить нагрузку на вычислительные ресурсы и упростить развёртывание решения.

В Xello называют основу продукта «защитой на опережение». Система не пытается ловить файл после отправки, а изначально ограничивает возможность вывести его из контролируемого пространства.

Включение в реестр подтверждает российское происхождение продукта и позволяет использовать его в проектах, где наличие такой регистрации является обязательным условием, в том числе при закупках с требованиями к отечественному ПО.

Теперь Xello Datacube предстоит пройти более суровую проверку, чем экспертиза документов: реальную эксплуатацию.

RSS: Новости на портале Anti-Malware.ru