Новый банковский троян использует Microsoft SQL Server для связи с CC

Новый банковский троян использует Microsoft SQL Server для связи с CC

Новый банковский троян использует Microsoft SQL Server для связи с CC

Команда исследователей из IBM X-Force обнаружила новый банковский троян, написанный на Delphi. Вредонос получил имя MnuBot, его отличительной особенностью является использование Microsoft SQL Server для связи с командным центром C&C.

Атака MnuBot состоит из двух этапов, за осуществление которых отвечают два основных компонента. На первом этапе вредонос ищет файл Desk.txt в папке %AppData%Roaming.

Если файл отсутствует, MnuBot создает его, после чего создает также новый рабочий стол и переключает рабочее пространство на него.

MnuBot постоянно отслеживает имя активного окна на новом рабочем столе, сверяя его со списком банков, который находится в конфигурации трояна. После этого — если троян обнаружил имя нужного банка — зловред обращается к серверу для загрузки исполняемого файла, отвечающего за второй этап атаки.

MnuBot может выполнять в системе следующие действия:

  • Снимать скриншоты браузера и рабочего стола;
  • Записывать нажатия клавиш (кейлоггер);
  • Имитировать клики и нажатия клавиш;
  • Перезагрузка компьютера жертвы;
  • Удалять из системы защитную программу Trusteer Rapport;
  • Создавать специальную форму, которую троян накладывает поверх форм банка (соответственно, похищать введенные пользователем данные).

«Вредоносная программа использует Microsoft SQL Server для связи с C&C», — говорится в отчете IBM. — «Как и любой другой RAT, MnuBot должен получать от сервера команды, для этого он постоянно запрашивает БД Microsoft SQL Server в поисках новой команды».

Если MnuBot не может получить доступ к конфигурационному файлу, он завершит свой процесс, и не будет выполнять никаких вредоносных действий в системе. Конфигурационный файл используется для гибкой настройки (например, в случае изменения списка атакуемых банков).

Каждый раз, когда злоумышленник хочет отправить команду своему вредоносу, он обновляет определенные столбцы внутри таблицы, хранящейся в базе данных с именем jackjhonson.

В остальном MnuBot мало чем отличается от стандартного банковского трояна — он использует наложения слоя, который содержит форму. Если пользователь введет в эту форму свои учетные данные, они попадут в руки киберпреступника.

Kaspersky ASAP стала гибче: компании смогут загружать свои курсы по ИБ

Платформа Kaspersky Automated Security Awareness Platform (ASAP) получила обновление, которое делает корпоративное обучение по кибербезопасности более гибким. Теперь компании могут загружать на платформу собственные учебные материалы — как в формате PDF, так и в виде SCORM-курсов, которые давно стали стандартом в электронном обучении.

Это позволяет проводить на Kaspersky ASAP не только готовые курсы от вендора, но и внутренние программы, адаптированные под конкретную инфраструктуру, профиль рисков сотрудников и корпоративные политики.

Платформа поддерживает SCORM 1.2 и SCORM 2004, а также PDF-файлы — например, методические материалы или внутренние инструкции.

Все управление обучением остаётся внутри платформы: администраторы могут настраивать количество уроков, сроки прохождения, отслеживать прогресс и обновлять контент.

В сочетании с обучающими курсами по кибербезопасности и тренировочными фишинговыми рассылками это помогает выстроить более целостный подход к работе с человеческим фактором.

Как отмечает эксперт направления Kaspersky Security Awareness Светлана Калашникова, злоумышленники по-прежнему часто используют ошибки сотрудников для атак на бизнес.

Возможность загружать собственные курсы позволяет компаниям точнее подстраивать обучение под свой технологический стек и актуальные для отрасли угрозы, а заодно снижать риск инцидентов, упрощать управление программами обучения и избегать комплаенс-проблем.

RSS: Новости на портале Anti-Malware.ru