Исследователи обнаружили новый вредонос, взломав 512-битный ключ RSA

Исследователи обнаружили новый вредонос, взломав 512-битный ключ RSA

Исследователи обнаружили новый вредонос, взломав 512-битный ключ RSA

Исследователи в области безопасности обнаружили новый вид вредоносной программы и инфраструктуру киберпреступников, которые ответственны за ряд серьезных целевых атак. Получивший имя Chainshot, вредонос используется на ранних этапах для активации загрузчика конечного пейлоада всей злонамеренной цепочки.

Вредоносную программу зафиксировали специалисты компании Palo Alto Networks после исследования 0-day эксплойта для Adobe Flash (CVE-2018-5002). Этот эксплойт использовался в серии целенаправленных кибератак.

Изучая трафик, которым вредонос обменивался с командным сервером C&C, находящимся под контролем злоумышленников, аналитики отметили, что вредоносная составляющая была зашифрована с помощью 512-битного ключа RSA.

Взлом такого ключа в настоящее время более чем возможен, понадобится только заплатить за аренду облачной вычислительной мощности и несколько часов ожидания.

«В то время как закрытый ключ остается только в памяти, публичный ключ отправляется на сервер злоумышленников. На стороне сервера модуль публичного ключа используется вместе с жестко запрограммированным индексом 0x10001 для шифрования 128-битного ключа AES, который ранее использовался для шифрования полезной нагрузки эксплойта и шелл-кода», — объясняют специалисты в своем отчете.

Используя модель Factory as a Service (FaaS), исследователи смогли вычислить ключ дешифрования и получить доступ к вредоносной программе Chainshot.

Помимо всего прочего, Chainshot содержит код, предназначенный для поиска и обхода антивирусных решений таких компаний, как «Лаборатория Касперского» и Bitdefender. Это актуально как для x86, так и для x64 платформ.

Основная задача Chainshot — доставить на зараженный компьютер другую вредоносную программу.

Microsoft прикрыла популярный способ бесплатно ускорить SSD в Windows 11

Пользователи Windows 11 в последние месяцы нашли приятный лайфхак: оказалось, что в системе можно вручную включить «родной» драйвер NVMe, который Microsoft изначально продвигала для Windows Server 2025. После такой настройки у многих заметно росла производительность SSD, особенно в случайных операциях чтения и записи. Но теперь, похоже, эту лазейку закрывают.

Суть трюка была в том, что Windows Server 2025 получила нативную поддержку NVMe, при которой система перестаёт обращаться с современными SSD как с более старыми накопителями через лишний слой совместимости.

Microsoft заявляла, что такой подход может дать прирост до 80% по IOPS и снизить нагрузку на CPU. Энтузиасты быстро выяснили, что нужные компоненты уже есть и в Windows 11 24H2 и 25H2, их оставалось только активировать через реестр.

После перезагрузки система начинала корректнее работать с NVMe-накопителем, а в тестах у части пользователей особенно хорошо росли именно случайные скорости. Причём заметнее всего эффект нередко проявлялся на не самых мощных системах и более доступных SSD, где лишние накладные расходы ощущаются сильнее. О таком приросте писали сразу несколько профильных изданий и участников форумов.

Теперь ситуация меняется. По сообщениям с форумов My Digital Life, в свежих тестовых сборках Windows 11 Microsoft отключила старый способ активации через реестр: система просто игнорирует эти ключи. Официально компания пока не объяснила, почему так сделала, но со стороны это выглядит как аккуратное сворачивание неофициального метода.

Впрочем, полностью тема не закрыта. Пользователи уже нашли обходной путь через ViVeTool, который позволяет принудительно включить нужную функцию по ID даже после блокировки реестрового трюка.

RSS: Новости на портале Anti-Malware.ru