Новая версия TrickBot похищает информацию о стабильности работы Windows

Новая версия TrickBot похищает информацию о стабильности работы Windows

Новая версия TrickBot похищает информацию о стабильности работы Windows

Новая версия банковского трояна TrickBot, которую недавно обнаружили эксперты, имеет весьма специфическое поведение — вредонос собирает данные средства анализа стабильности системы Windows (компонент Reliability Analysis Component или RAC). Фактически это данные об инсталляциях программ, обновлениях, ошибках в работе операционной системы и приложений, а также о различных проблемах аппаратного свойства.

Для анализа стабильности системы Windows использует запланированную задачу под названием RACAgent. Запускаясь каждый час, задание сбрасывает все собранные данные в локальный каталог. В принципе, пользователь может отключить подобный сбор данных, надо только зайти в Планировщик заданий Windows (Task Scheduler).

Стоит помнить, что после отключения Монитор стабильности системы (Reliability Monitor) более не сможет отслеживать стабильность работы вашего компьютера.

Исследователи My Online Security провели анализ фишинговой кампании, который показал, что обнаруженный на прошлой неделе вариант трояна TrickBot считывает и похищает информацию о стабильности работы системы, которая находится в директории по следующему адресу — C:\ProgramData\Microsoft\RAC\.

Эксперт в области безопасности опубликовал список файлов, за которыми охотится новая версия вредоносной программы:

В новой кампании TrickBot распространяется в письмах, якобы отправленных банком Lloyds Bank (используется адрес donotreply@lloydsbankdocs.com). В качестве вложения прикреплен файл Word, в котором содержится логотип Lloyds Bank. Более того, злоумышленники даже поместили в документ логотип Symantec — дескать, «проверено, вирусов нет».

Несмотря на все усилия, данная версия уже детектируется как минимум 30 антивирусами на VirusTotal.

Hide My Email не помог: Apple передала ФБР данные автора анонимного письма

Сервис Hide My Email в экосистеме Apple снова напомнил, что он создан для защиты от спама и лишнего трекинга, а не для анонимности перед правоохранителями. По информации профильных изданий, Apple передала ФБР данные пользователя, который отправил письмо с угрозами Алексис Уилкинс — девушке нынешнего директора ФБР Каша Пателя.

Как пишет 404 Media, речь идёт о 26-летнем Олдене Рамле. Из судебных документов следует, что он использовал псевдоадрес из iCloud+ Hide My Email, чтобы отправить анонимное письмо.

После обращения в полицию следователи запросили у Apple сведения, связанные с этим алиасом, и корпорация раскрыла имя пользователя и его реальный iCloud-адрес.

Позже, как сообщается, Рамле признал, что именно он отправил сообщение, после чего ему предъявили обвинение. История получилась показательной ещё и потому, что у пользователя, по данным материалов дела, было создано 134 адреса Hide My Email, но это всё равно не помешало следствию выйти на него через запрос к Apple.

Сейчас ФБР добивается доступа к данным на его устройствах и, как пишут СМИ со ссылкой на аффидевит, хочет получить разрешение на использование биометрической разблокировки и отключение защитных механизмов вроде Stolen Device Protection.

С юридической точки зрения здесь ничего сенсационного нет: Apple давно прямо указывает, что может передавать данные пользователей по законным запросам правоохранительных органов, а также регулярно публикует отчёты о таких обращениях.

RSS: Новости на портале Anti-Malware.ru