Новый вредонос подменяет адреса платежных систем в буфере обмена

Новый вредонос подменяет адреса платежных систем в буфере обмена

Новый вредонос подменяет адреса платежных систем в буфере обмена

Исследователи в области безопасности обнаружили новую вредоносную программу, способную обнаруживать, когда пользователи копируют адрес криптовалютного кошелька в буфер обмена Windows, а затем подменять этот адрес адресом злоумышленника.

Зловред получил имя ComboJack, своими действиями он очень похож на таких вредоносов, как Evrial и CryptoShuffler. Разница заключается в том, что ComboJack поддерживает многие криптовалюты, не только биткоин.

По данным Palo Alto Networks, ComboJack фиксирует момент, когда пользователь копирует адрес кошелька в буфер обмена. Примечательно, что помимо таких валют, как Bitcoin, Litecoin, Ethereum и Monero, вредонос учитывает и адреса платежных систем Qiwi, Яндекс Деньги и WebMoney (как долларовые, так и рублевые платежи).

Специалисты Palo Alto предупреждают, что в настоящее время ComboJack активно распространяется злоумышленниками. Исследователям удалось обнаружить этого вредоноса в кампаниях, нацеленных на японских и американских пользователей.

Схема распространения довольно сложна, опирается на шаблоны вредоносной кампании банковского трояна Dridex, а также вымогателя Locky. Злоумышленники посылают жертвам электронные письма, в которых якобы находится скан утраченного паспорта. Письма содержат вложение в формате PDF.

Если пользователь загружает и открывает этот PDF-файл, запускается RTF-файл, содержащий встроенный объект HTA, который пытается использовать уязвимость DirectX CVE-2017-8579.

При успешной эксплуатации запускается ряд команд PowerShell, которые загружают и выполняют самораспаковывающийся исполняемый файл (SFX). Затем этот SFX загружает следующий SFX, защищенный паролем, и только он устанавливает ComboJack.

После этого ComboJack начинает сканирование буфера обмена Windows каждые полсекунды на наличие нового содержимого. Эксперты Palo Alto советуют пользователям внимательно проверять адреса, на которые они делают переводы.

Специалисты опубликовали таблицу, на которой отражены условия подмены адресов вредоносной программой, а также адреса кошельков злоумышленника:

Напомним, что в январе мы писали о вредоносе Evrial, который подменяет биткойн-адреса в буфере обмена Windows.

Маркетплейсы снова пускают с включенным VPN

Пользователи в соцсетях сообщают, что маркетплейсы снова начали открываться при включённом VPN. Похожая ситуация наблюдается и на других цифровых платформах. Это связывают с падением посещаемости и выручки после введения ограничений. При этом у пользователей некоторых VPN-сервисов проблемы всё ещё сохраняются.

О такой тенденции сообщает Hi-Tech Mail со ссылкой на публикации пользователей в соцсетях.

По их словам, при использовании как минимум трёх VPN-клиентов снова начали корректно открываться сайты и мобильные приложения Ozon, Wildberries, 2ГИС, «ВкусВилл», «Перекрёсток», «Пятёрочка», «Авито» и ряда сервисов Яндекса.

Впрочем, работоспособность сайтов и приложений остаётся выборочной. Авторы публикации также столкнулись с тем, что при заходе с включённым VPN или с зарубежного IP одни сервисы открывались корректно, а в других случаях доступ всё же обрывался. Кроме того, ситуация может отличаться в разных регионах России.

Формально ограничения для пользователей с включённым VPN начали действовать с 15 апреля, однако фактически они появились даже раньше. Пользователи жаловались на заметные задержки при загрузке карточек товаров и нестабильную работу сервисов.

После 15 апреля ограничения начали вводить и компании, которым этого напрямую не предписывали. Это связывали с тем, что средства подмены сетевых адресов мешали корректной работе их внутренних сервисов.

Однако уже через неделю после введения ограничений маркетплейсы столкнулись со снижением продаж на фоне падения посещаемости.

На площадках сократилось количество активных селлеров, ухудшился ассортимент, а часть покупателей перешла на альтернативные каналы — как офлайн, так и онлайн. В результате маркетплейсы начали смягчать ограничения, чтобы вернуть аудиторию.

RSS: Новости на портале Anti-Malware.ru