Киберпреступники устанавливают бэкдор, используя 19-летнюю дыру в WinRAR

Киберпреступники устанавливают бэкдор, используя 19-летнюю дыру в WinRAR

Эксперты 360 Threat Intelligence Center наткнулись на вредоносную кампанию спамеров, в ходе которой жертвам рассылаются злонамеренные архивы RAR. В этом случае злоумышленники стараются использовать критическую уязвимость в WinRAR, о которой на днях сообщали специалисты компании Check Point.

В случае успешной эксплуатации уязвимости на компьютер пользователя устанавливается вредоносная программа. На деле атакующий может извлечь помещенные в архив файлы в любую угодную ему директорию.

Таким образом, если киберпреступник поместит файлы в папку автозагрузки Windows Startup, то они, естественно, будут стартовать при каждом запуске операционной системы.

В ходе обнаруженной 360 Threat Intelligence Center кампании злоумышленники использовали бэкдор с именем файла CMSTray.exe. Специалисты полагают, что этот вредонос можно считать по праву первой программой, которая пользуется недавно раскрытой уязвимостью в WinRAR.

Немаловажную роль в защите от такого вида атаки играет система контроля учетных записей Windows (User Account Control, UAC) — если она активирована, вредоносный код не сможет записать файл в директорию автозагрузки, так как на это у него не будет прав.

Однако если UAC отключен, то файл размещается по следующему пути:

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\CMSTray.exe

Далее вредонос соединяется с http://138[.]204[.]171[.]108/ для загрузки дополнительных инструментов.

На прошлой неделе мы писали, что уязвимость удаленного выполнения кода (RCE) была найдена в популярном архиваторе WinRAR. Удивительно, но эту брешь более 19 лет не замечали, в то время как полмиллиарда пользователей были в опасности.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Свежее обновление KB5006670 для Windows 10 поломало сетевую печать

Системные администраторы и простые пользователи Windows 10 сообщают о проблемах с сетевыми принтерами. Утверждается, что к сбоям процесса печати привело накопительное обновление под номером KB5006670.

Microsoft выпустила KB5006670 вместе с другими апдейтами на прошлой неделе в рамках ежемесячного патчинга. Это обновление предназначалось для Windows 10 версий 2004, 20H1 и 21H1.

Сразу после установки апдейта пользователи стали жаловаться на сбои в работе сетевой печати. Система выдавала две ошибки: «0x00000709» и «Element not found». На форуме BleepingComputer также отметились системные администраторы, которые тоже столкнулись с новым багом.

Опытным путём выяснилось, что проблема уходит, если деинсталлировать накопительное обновление KB5006670. К слову, сетевые принтеры в последнее время стали настоящей проблемой для Microsoft.

Дело в том, что корпорация с июля борется с уязвимостями PrintNightmare, которые используются в кибератаках операторов программ-вымогателей. К сожалению, ряд выпущенных патчей не только закрыл бреши, но и стал причиной новых проблем и багов.

Тем не менее с текущей ситуацией можно справиться собственными силами. Пользователи выяснили, что удаление апдейта KB5006670 решает проблему. Однако стоит признать, что деинсталлировать патчи не всегда разумно с точки зрения безопасности.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru