Хакеры используют старые бреши в Microsoft Office для установки бэкдора

Хакеры используют старые бреши в Microsoft Office для установки бэкдора

Хакеры используют старые бреши в Microsoft Office для установки бэкдора

В новой вредоносной кампании злоумышленники используют старые уязвимости в программном обеспечении Microsoft Office для внедрения в системы Windows бэкдора. Этот бэкдор, получивший имя Felixroot, шпионит за пользователями и крадет их файлы.

Связанную с Felixroot киберактивность обнаружили исследователи FireEye, атакующие нацелились на жителей Украины. Вся схема атаки начинается с фишингового письма, в котором якобы содержится информация о семинаре по охране окружающей среды.

В этой кампании используются две уязвимости в Microsoft Office: CVE-2017-0199 и CVE-2017-11882. Первая позволяет злоумышленникам загружать и выполнять скрипт Visual Basic, содержащий команды PowerShell. Вторая брешь позволяет выполнить произвольный код и получить контроль над атакуемой системой.

Оба эксплойта стали доступны в прошлом году, они уже не раз использовались киберпреступниками в различных злонамеренных кампаниях. В этом случае атакуюшие используют эти две уязвимости в связке, что позволяет запустить бэкдор Felixroot.

У Felixroot есть все для того, чтобы следить за пользователем и красть его конфиденциальные файлы.

«Felixroot пытается похитить загруженные файлы, также бэкдор передает злоумышленникам информацию о системе. Вредонос свободно может загружать файлы с командного центра C&C, а затем выполнять их», — объясняет эксперт из FireEye Свопнил Патил.

Первым уязвимость CVE-2017-0199 эксплуатирует файл Seminar.rtf, а пейлоад второго этапа уже использует CVE-2017-11882, чтобы получить контроль над системой.

Зловред загружается прямиком в память, избегая попадания на диск, что увеличивает его шансы остаться незамеченным. Felixroot извлекает следующую информацию: имя пользователя, серийный номер тома, версию Windows и архитектуру процессора.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Количество фишинговых доменных имен выросло на 38%

Согласно данным регулярного исследования Phishing Landscape Report компании Interisle, количество доменных имён, связанных с фишингом, в период с мая 2024 по апрель 2025 года выросло на 38% по сравнению с предыдущим годом.

В основу отчёта (PDF) легли объединённые данные о фишинговых атаках от Anti-Phishing Working Group (APWG), OpenPhish, PhishTank и Spamhaus. Всего Interisle проанализировала более 4 млн жалоб на фишинговые ресурсы.

Одной из новых тенденций стало сокращение числа фишинговых сайтов в доменах COM/NET и в национальных доменных зонах: их доля снизилась с 37% до 32% и с 15% до 11% соответственно.

Этот спад компенсировался активным ростом фишинга в новых доменных зонах. Там было сосредоточено 51% фишинговых сайтов, при том что на их долю приходилось лишь 11% всех легитимных ресурсов. В домене XIN почти 100% сайтов оказались фишинговыми. Высокая концентрация подобных ресурсов зафиксирована также в доменных зонах BOND, CFD, TODAY и LOL. По мнению Interisle, причина в низкой стоимости регистрации в этих зонах.

Тем не менее в абсолютных цифрах лидирует домен COM, где выявлено более 455 тыс. фишинговых ресурсов. Это объясняется его популярностью и крупнейшим количеством регистраций в мире.

Среди регистраторов наибольшая доля фишинговых доменов пришлась на компании NiceNic, Aceville, Dominet, Webnic и OwnRegistrar, что также связывают с их ценовой политикой.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru