RAT-вредонос распространяется под видом обновлений Adobe Flash, Chrome

RAT-вредонос распространяется под видом обновлений Adobe Flash, Chrome

Отчеты компании FireEye свидетельствуют о том, что новая вредоносная кампания в течение последних нескольких месяцев использовала уязвимые сайты для распространения инструмента для удаленного доступа (RAT) NetSupport Manager, замаскированного под обновления программ.

NetSupport Manager — коммерческий продукт используемый администраторами для удаленного доступа к клиентским компьютерам. Следовательно, этот инструмент могут использовать и злоумышленники для получения несанкционированного доступа к компьютерам своих жертв.

В качестве маскировки киберпреступники пытаются преподнести этот инструмент как обновления для таких программ, как Adobe Flash, Chrome и FireFox. Если пользователь принимает решение воспользоваться такими «обновлениями», на его компьютер загружается вредоносный JavaScript, чаще всего по ссылке Dropbox.

Вредонос для начала собирает основную системную информацию и отправляет ее на сервер, далее получает дополнительные команды от сервера, а затем выполняет JavaScript для доставки финального пейлоада. Как пишут эксперты FireEye, злонамеренный JavaScript-файл называется Update.js, он запускается из каталога %AppData% при помощи wscript.exe.

Злоумышленники использовали несколько слоев обфускации файла JavaScript, чтобы затруднить анализ вредоносного содержимого. В частности, для получения ключа дешифровки использовались функции caller и callee, что гарантировало экстренное завершение работы скрипта, если аналитик попытается деобфусцировать зловред.

После первого запуска JavaScript инициирует подключение к командному серверу C&C, отправляя туда значение с именем tid и текущей датой системы. После этого скрипт декодирует ответ сервера и выполняет его как функцию с именем step2.

Эта функция собирает различную системную информацию, кодирует ее и отправляет на сервер. Среди такой информации: архитектура, имя компьютера, имя пользователя, процессоры, ОС, производитель, модель, версия BIOS, антивирусные продукты, MAC-адрес, список процессов и прочее.

После всех этих этапов злонамеренный сервер отвечает функцией step3, далее посредством файла Update.js на компьютер пользователя загружается финальная полезная нагрузка. В коде используются команды PowerShell для загрузки нескольких файлов с сервера, среди них исполняемый файл 7zip, запароленный архив, содержащий RAT, а также скрипт для установки клиента NetSupport в системе.

С помощью NetSupport Manager злоумышленники могут получить удаленный доступ к взломанным системам, переносить файлы, запускать приложения, получать местоположение системы и собирать необходимую информацию.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Slack сбросил пароли пользователей после раскрытия хешированных данных

Разработчики корпоративного мессенджера Slack сбросили учётные данные около 0,5% пользователей после обнаружения уязвимости, из-за которой раскрывались хешированные пароли при создании или отзыве расшаренных ссылок для приглашения в рабочие пространства.

Напомним, ещё в сентябре 2019 года корпоративный мессенджер хвастался более 12 миллионами активных пользователей ежедневно.

«Если условный пользователь создавал или отзывал ссылки для приглашения, Slack передавал его хешированный пароль другим участникам рабочего пространства», — пишут представители Slack.

Отмечается также, что пароли были хешированы с солью, которая добавляет дополнительный слой безопасности, защищающий учётные данные от атак вида брутфорс. Конкретный алгоритм хеширования Slack пока не раскрывает.

Сама уязвимость, судя по всему, затрагивала всех пользователей, которые создавали или отзывали инвайт-ссылки в период между 17 апреля 2017 года и 17 июля 2022-го. О проблеме сообщил неназванный исследователь в области кибербезопасности.

Стоит отметить, что хешированные пароли не были видны клиентам Slack. Разработчики корпоративного мессенджера уточняют:

«Нет никаких оснований полагать, что посторонние лица получили доступ к паролям в виде простого текста. Тем не менее мы сбросили пароли затронутых пользователей из соображений безопасности».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru