PowerGhost — новый бесфайловый майнер, способный совершать DDoS-атаки

PowerGhost — новый бесфайловый майнер, способный совершать DDoS-атаки

PowerGhost — новый бесфайловый майнер, способный совершать DDoS-атаки

Исследователи «Лаборатории Касперского» обнаружили нового криптомайнера PowerGhost, который распространялся в корпоративных сетях по всему миру, заражая рабочие станции и серверы. В большей степени пострадали от его атак такие страны, как Бразилия, Колумбия, Индия и Турция. В России были зафиксированы атаки на десятки пользователей.

PowerGhost — это безфайловый зловред, то есть он существует в оперативной памяти устройства и не нуждается в исполняемых файлах для запуска, что значительно осложняет его обнаружение. Заражение компьютера этим вредоносом происходит с помощью эксплойтов или средств удалённого администрирования. Далее основная часть криптомайнера загружается и запускается без сохранения на жёстком диске. Сразу после этого киберпреступники могут предоставить PowerGhost возможности для автоматического обновления, распространения в сети и начала криптомайнинга.

В одной из версий PowerGhost был также обнаружен инструмент для проведения DDoS-атак. Вероятно, злоумышленники планировали получать дополнительный заработок со своего майнинг-ботнета, предоставляя услугу DDoS.

Примечательно, что случаи заражения новым зловредом подтвердили недавний прогноз экспертов «Лаборатории Касперского»: разработчики вредоносных криптомайнеров действительно переходят на целевые атаки с целью повышения финансовой прибыли.

PowerGhost представляет собой обфусцированный powershell-скрипт, содержащий основной код и дополнительные модули: непосредственно майнер, mimikatz, библиотеки msvcp120.dll и msvcr120.dll, необходимые для работы майнера, модуль для reflective PE injection и shellcode для эксплойта EternalBlue.

Зловред использует множество бесфайловых техник, чтобы оставаться незаметным для пользователя и избегать обнаружения антивирусными технологиями. Заражение машины происходит удаленно с использованием эксплойтов или инструментов удаленного администрирования (Windows Management Instrumentation). При заражении запускается однострочный powershell-скрипт, который выкачивает основное тело зловреда и сразу запускает его, не записывая на жесткий диск.

Security Vision обновила платформу: больше автоматизации и контроля

Security Vision выпустила обновление своей платформы. В новой версии разработчики сосредоточились не на «громких» функциях, а на практичных доработках — развертывании, автоматизации, отчётности и работе коннекторов.

Развертывание и сопровождение стало гибче

В мастер установки добавили возможность выбрать репозиторий, из которого подтягиваются дистрибутивы сторонних компонентов — NGINX, PostgreSQL, RabbitMQ, ElasticSearch, Node.js, OpenJDK, Python3 и PowerShell. Теперь можно использовать стандартный источник, указать собственный или вообще задать локальную директорию на сервере.

В модуле мониторинга состояния платформы появилось отображение версий всех отслеживаемых компонентов. А при установке агента (сервиса коннекторов) на Windows-активах теперь можно сразу установить и настроить сертификат для HTTPS-соединения.

Больше автоматизации и реакций на события

Платформа получила расширенные реакции на системные события. Например, при создании новых объектов их можно автоматически передавать в рабочий процесс. Также система теперь умеет запускать процессы и отправлять уведомления при добавлении, изменении или удалении расписания коннектора.

Для удобства пользователей добавлена настройка заголовка модального окна при ручном запуске рабочего процесса — это помогает лучше ориентироваться при заполнении параметров.

Отчёты: больше контроля

В веб-интерфейсе появилась опция включения режима отладки при формировании отчётов. Это позволяет проверить корректность итогового файла ещё на этапе сборки.

Для форматов XLSX и ODS добавили настройку количества строк между блоками — полезная деталь для управления структурой и читаемостью отчётов.

Формы, экспорт и перенос модулей

В системных настройках появилась возможность конфигурировать формы ввода и вывода для дополнительных параметров. А при экспорте модуля теперь выгружается и прикреплённый к нему файл — это упрощает перенос модульных пакетов между разными контурами и стендами.

Доработки коннекторов и интерфейса

В коннекторе типа «Файл» для запроса «Получить файл» добавили автоматический сдвиг позиции до предыдущего символа конца строки. При повторном запросе система будет забирать только новую часть файла — это особенно удобно при работе с log-файлами.

В табличном представлении событий теперь отображается информация о сериализации свойств. А для карточек типа «Виджет» появилась настройка отслеживаемых свойств — данные внутри блока могут обновляться автоматически, без перезагрузки всей карточки.

В целом релиз получился прикладным: больше гибкости в установке, больше автоматизации и несколько точечных улучшений, которые должны упростить повседневную работу с платформой.

RSS: Новости на портале Anti-Malware.ru