Хакеры используют старые бреши в Microsoft Office для установки бэкдора

Хакеры используют старые бреши в Microsoft Office для установки бэкдора

Хакеры используют старые бреши в Microsoft Office для установки бэкдора

В новой вредоносной кампании злоумышленники используют старые уязвимости в программном обеспечении Microsoft Office для внедрения в системы Windows бэкдора. Этот бэкдор, получивший имя Felixroot, шпионит за пользователями и крадет их файлы.

Связанную с Felixroot киберактивность обнаружили исследователи FireEye, атакующие нацелились на жителей Украины. Вся схема атаки начинается с фишингового письма, в котором якобы содержится информация о семинаре по охране окружающей среды.

В этой кампании используются две уязвимости в Microsoft Office: CVE-2017-0199 и CVE-2017-11882. Первая позволяет злоумышленникам загружать и выполнять скрипт Visual Basic, содержащий команды PowerShell. Вторая брешь позволяет выполнить произвольный код и получить контроль над атакуемой системой.

Оба эксплойта стали доступны в прошлом году, они уже не раз использовались киберпреступниками в различных злонамеренных кампаниях. В этом случае атакуюшие используют эти две уязвимости в связке, что позволяет запустить бэкдор Felixroot.

У Felixroot есть все для того, чтобы следить за пользователем и красть его конфиденциальные файлы.

«Felixroot пытается похитить загруженные файлы, также бэкдор передает злоумышленникам информацию о системе. Вредонос свободно может загружать файлы с командного центра C&C, а затем выполнять их», — объясняет эксперт из FireEye Свопнил Патил.

Первым уязвимость CVE-2017-0199 эксплуатирует файл Seminar.rtf, а пейлоад второго этапа уже использует CVE-2017-11882, чтобы получить контроль над системой.

Зловред загружается прямиком в память, избегая попадания на диск, что увеличивает его шансы остаться незамеченным. Felixroot извлекает следующую информацию: имя пользователя, серийный номер тома, версию Windows и архитектуру процессора.

WhatsApp обещает защитить юзернеймы от фейков, клонов и мошенников

WhatsApp (принадлежит корпорации Meta, признанной экстремисткой и запрещённой в России) еще не успел полноценно запустить имена пользователей, а вокруг функции уже началась возня с регуляторами. По данным СМИ, власти Индии попросили корпорацию притормозить и объяснить, как мессенджер собирается бороться с мошенничеством и подделкой личностей.

Суть опасений понятна: если пользователи смогут общаться без передачи номера телефона, мошенникам якобы станет проще прятаться за никами, выдавать себя за людей, компании или госорганы и проворачивать привычные схемы уже в более анонимном формате.

WhatsApp с этим не согласен и утверждает, что защита от злоупотреблений уже заложена в дизайн функции. Представитель корпорации сообщил Android Authority, что возможность использовать юзернеймы пока не запущена для всех и будет внедряться постепенно.

По словам WhatsApp, самые заметные имена заранее зарезервированы: публичные персоны, госструктуры, знаменитости и верифицированные аккаунты Meta не смогут быть захвачены посторонними. Более того, похожие варианты известных имен тоже удерживаются.

Компания также подчёркивает: имена пользователей не заменят номер телефона полностью. Для создания и использования аккаунта WhatsApp по-прежнему потребуется телефонный номер. Ник нужен только как способ дать людям возможность связаться друг с другом без немедленного раскрытия номера.

Дополнительные ограничения тоже будут. Чтобы написать человеку по юзернейму, нужно знать его точное имя. WhatsApp обещает ограничивать количество новых контактов, которым может написать один аккаунт, блокировать массовый перебор никнеймов и использовать автоматические системы для поиска подозрительной активности и имперсонации.

Если незнакомец впервые напишет по имени, пользователь увидит больше контекста: новый ли это аккаунт, есть ли он в контактах, есть ли общая группа и из какой страны идет сообщение.

Иными словами, WhatsApp пытается усидеть на двух стульях: дать пользователям больше приватности, но не превратить юзернеймы в новый рай для мошенников. Получится ли? Станет понятно после запуска.

RSS: Новости на портале Anti-Malware.ru