PowerGhost — новый бесфайловый майнер, способный совершать DDoS-атаки

PowerGhost — новый бесфайловый майнер, способный совершать DDoS-атаки

PowerGhost — новый бесфайловый майнер, способный совершать DDoS-атаки

Исследователи «Лаборатории Касперского» обнаружили нового криптомайнера PowerGhost, который распространялся в корпоративных сетях по всему миру, заражая рабочие станции и серверы. В большей степени пострадали от его атак такие страны, как Бразилия, Колумбия, Индия и Турция. В России были зафиксированы атаки на десятки пользователей.

PowerGhost — это безфайловый зловред, то есть он существует в оперативной памяти устройства и не нуждается в исполняемых файлах для запуска, что значительно осложняет его обнаружение. Заражение компьютера этим вредоносом происходит с помощью эксплойтов или средств удалённого администрирования. Далее основная часть криптомайнера загружается и запускается без сохранения на жёстком диске. Сразу после этого киберпреступники могут предоставить PowerGhost возможности для автоматического обновления, распространения в сети и начала криптомайнинга.

В одной из версий PowerGhost был также обнаружен инструмент для проведения DDoS-атак. Вероятно, злоумышленники планировали получать дополнительный заработок со своего майнинг-ботнета, предоставляя услугу DDoS.

Примечательно, что случаи заражения новым зловредом подтвердили недавний прогноз экспертов «Лаборатории Касперского»: разработчики вредоносных криптомайнеров действительно переходят на целевые атаки с целью повышения финансовой прибыли.

PowerGhost представляет собой обфусцированный powershell-скрипт, содержащий основной код и дополнительные модули: непосредственно майнер, mimikatz, библиотеки msvcp120.dll и msvcr120.dll, необходимые для работы майнера, модуль для reflective PE injection и shellcode для эксплойта EternalBlue.

Зловред использует множество бесфайловых техник, чтобы оставаться незаметным для пользователя и избегать обнаружения антивирусными технологиями. Заражение машины происходит удаленно с использованием эксплойтов или инструментов удаленного администрирования (Windows Management Instrumentation). При заражении запускается однострочный powershell-скрипт, который выкачивает основное тело зловреда и сразу запускает его, не записывая на жесткий диск.

Telegram в России внезапно ожил, но радоваться пока рано

После затяжных перебоев Telegram в России начал работать заметно лучше — по крайней мере, у части пользователей. По данным профильных мониторингов и публикаций последних дней, уровень сетевых сбоев при подключении к мессенджеру снизился: если раньше речь шла примерно о 80% проблемных соединений, то теперь — около 55%.

При этом жалобы на нестабильную работу сервиса всё ещё продолжаются. В Москве, как отмечает «Код Дурова», картина уже выглядит не такой мрачной, как ещё совсем недавно.

На домашнем интернете Telegram у некоторых пользователей снова открывается без VPN и даже довольно быстро подгружает видео. Это особенно заметно на фоне недавней ситуации, когда доступность сервиса, по оценкам наблюдателей, опускалась до совсем скромных значений.

Но полностью выдыхать рано. Главный нюанс в том, что первое подключение после запуска приложения всё ещё может быть проблемным. Чаты подолгу висят в статусе «Обновление», и только после удачного соединения мессенджер начинает работать более-менее стабильно. То есть Telegram вроде бы оживает, но делает это пока с характером.

 

Есть и ещё одно важное ограничение: улучшение, о котором говорят пользователи, касается в основном домашнего интернета. На мобильных сетях ситуация, судя по жалобам, почти не изменилась: там Telegram по-прежнему работает плохо или не работает вовсе.

Официальных внятных объяснений по поводу этой частичной «реанимации» пока нет. Роскомнадзор ранее заявлял об ограничениях в отношении Telegram, а в феврале официально подтверждал, что работа сервиса ограничена из-за несоблюдения российских законов. При этом в марте пользователи продолжали массово жаловаться на нестабильный доступ.

Напомним, несмотря на почти полную невозможность пользоваться Telegram без средств подмены сетевых адресов, российские пользователи не спешат уходить с этой платформы. Такую оценку дал генеральный директор информационно-аналитического агентства Telecom Daily Денис Кусков.

Стоит также быть внимательными, так как россиянам подсовывают троянов вместо ускорения Telegram.

RSS: Новости на портале Anti-Malware.ru