Вредонос Kronos эксплуатирует баг в Office для кражи банковских данных

Вредонос Kronos эксплуатирует баг в Office для кражи банковских данных

Вредонос Kronos эксплуатирует баг в Office для кражи банковских данных

Kronos, также известный как «отец Zeus», представляет собой сложную вредоносную программу, которая может стать причиной многих проблем. Впервые Kronos был обнаружен в 2014 году на киберпреступных российских форумах, его продавали за $7000 (или пробная версия на неделю за $1000). За эту сумму разработчики обещают постоянно обновлять вредонос, оснащая его новыми функциями. И теперь исследователи компании Securonix сообщили, что Kronos получил одно из долгожданных серьезных обновлений.

Securonix опубликовала новое исследование вредоноса Kronos, а точнее его последнего экземпляра, известного также как Osiris. Именно эта версия была обнаружена в июле этого года.

Три отдельные вредоносные кампании, в которых используется Kronos, уже действуют на территории Германии, Японии и Польши. Вся цепочка заражения начинается с фишинга, а также с наборов эксплойтов вроде RIG.

Вредоносные электронные письма содержат специально созданные документы Microsoft Word (также были замечены вложения RTF). Файлы содержат макросы, которые запускают обфусцированные VB-команды.

В ходе заражения эксплуатируется уязвимость CVE-2017-11882, которая затрагивает компонент редактора Microsoft Office Equation. Сама брешь была обнаружена в 2017 году. Если целевая система не была пропатчена, атака позволит злоумышленнику выполнить произвольный код.

Новый вариант вредоносной программы также активно использует сеть Tor, именно за ней прячется командный сервер C&C зловреда. Чтобы связаться с центром, Kronos подключается к нескольким узлам Tor, которые расположены в разных странах.

Некоторые версии также поддерживают дистанционное управление через кастомную библиотеку LibVNCServer.

После запуска в зараженной системе Kronos пытается красть данные из разных источников. Кроме этого, вредонос модифицирует реестр Windows, чтобы внедрить вредоносный код в процессы браузеров. Таким образом, при посещении банковских сайтов будет выполнена атака вида man-in-browser.

Настройки безопасности браузера Firefox также могут быть модифицированы вредоносом.

Конечная цель — получить банковские данные зараженного пользователя. Последние конфигурации вредоносного скрипта периодически подгружаются с командного сервера.

Чтобы обеспечить себе запуск на зараженной машине, зловред копирует себя в папку C: \Users\%\AppData\Roaming вместе с исполняемыми файлами Tor и вредоносными DLL. Также программа записывает себя в пункт автозапуска.

На Android нашли рабочий способ вернуть фоновый YouTube без Premium

Если у вас внезапно перестал играть YouTube в фоне, дело не в браузере. Это сам YouTube. На этой неделе компания подтвердила: фоновое воспроизведение видео для пользователей без подписки Premium теперь целенаправленно ограничивается. Под удар попали даже те браузеры, которые раньше спокойно позволяли слушать ролики с заблокированным экраном или при свёрнутом окне.

Brave, Vivaldi и Microsoft Edge — всё, лавочка закрыта. Видео останавливается сразу, как только вы уходите из вкладки или сворачиваете приложение.

И это, как подчёркивает YouTube, не баг, а осознанная политика. Фон — только для Premium. Ценность подписки, так сказать, должна оставаться «священной».

Пока YouTube закручивает гайки, пользователи экспериментируют. Один из рабочих вариантовAndroid-браузеры с поддержкой расширений. Таких немного, но, например, Microsoft Edge Canary пока ещё держится.

Схема выглядит так:

  1. Устанавливаем Edge Canary.
  2. Добавляем расширение Violentmonkey — это менеджер пользовательских скриптов.
  3. Ставим userscript Disable Page Visibility API (короткий скрипт на 16 строк, доступен на Greasy Fork).

Скрипт маскирует факт того, что страница ушла в фон, и YouTube продолжает считать, что вы всё ещё «смотрите» видео. В итоге ролик можно запустить снова через системное уведомление. Он будет воспроизводиться даже при переключении между приложениями и вкладками.

Работает не только с YouTube: аналогичный трюк может быть полезен и при просмотре видео на Facebook, Instagram (принадлежат корпорации Meta, признанной экстремистской и запрещённой в России) и других сайтах. Впрочем, есть несколько не очень приятных нюансов:

Во-первых, установка Userscript — это всегда риск. Скрипты могут делать с браузером всё что угодно, поэтому смотреть код и источник всё-таки стоит.

Во-вторых, Edge Canary — не самый дружелюбный браузер, особенно если раньше вы с подобными расширениями не сталкивались.

В-третьих, это явно временное решение. YouTube уже активно прикрывает подобные обходы, и нет никаких гарантий, что этот способ будет работать через неделю или две.

Интересный момент: Mozilla Firefox на Android у некоторых пользователей по-прежнему спокойно воспроизводит YouTube в фоне без расширений. Если вдруг перестанет, можно попробовать тот же Disable Page Visibility API или другие YouTube-аддоны, которых у Firefox хватает.

А вот в браузерах без поддержки расширений всё печально. Google Chrome, Brave, Vivaldi — мимо. Samsung Internet хоть и поддерживает дополнения, но подходящего обхода там пока нет.

Напомним, на днях YouTube начал показывать «контент недоступен» из-за блокировщиков рекламы. Однако можно нажать кнопку «Узнать больше» под сообщением об ошибке, а затем вернуться назад — в ряде случаев это «пробуждает» плеер и видео запускается. Работает не всегда, но многим помогло.

RSS: Новости на портале Anti-Malware.ru