Фишеры используют уязвимость в WinRAR для запуска бестелесного бэкдора

Фишеры используют уязвимость в WinRAR для запуска бестелесного бэкдора

Фишеры используют уязвимость в WinRAR для запуска бестелесного бэкдора

Недавно зафиксированные атаки на организации в сфере спутниковой связи и коммуникаций повторяют технику, используемую киберпреступной группой MuddyWater. Злоумышленники эксплуатируют 19-летнюю уязвимость в архиваторе WinRAR для запуска бестелесного PowerShell-бэкдора.

К счастью, в настоящее время для этой уязвимости (CVE-2018-20250) уже выпущен патч, однако из-за отсутствия функции автоматического обновления многие становятся жертвами подобных атак.

Неудивительно, что после появления информации об этой уязвимости в течение короткого промежутка времени появилось более 100 эксплойтов под нее.

В случае последних атак с использованием CVE-2018-20250 злоумышленники получают полный контроль над атакуемой системой.

Все началось с того, что команда Office 365 Advanced Threat Protection обнаружила вредоносный файл, который использовал уязвимость в WinRAR. Исследователи сразу поняли, что имеют дело с тщательно подготовленными и хорошо организованными киберпреступниками.

По словам Рекса Плантадо, эксперта Office 365 ATP, атаки начинаются с фишингового письма, которое замаскировано под письмо от Министерства иностранных дел Афганистана.

К письму прикреплен документ Word, который не содержит никакой вредоносной составляющей — предположительно, чтобы избежать детектирования антивирусными средствами, которые используют сервисы электронной почты.

Однако в этом документе содержится ссылка на другой документ, который уже располагается в облачном хранилище OneDrive.

И вот во втором документе как раз и содержится вредоносная составляющая, которая запускает цепочку атаки. В частности, файл содержит грамотно обфусцированный макрос. В случае активации макросов в Microsoft Office (по умолчанию отключены) запустится загрузка на компьютер вредоносной программы.

После ее запуска пользователя попросят перезагрузить компьютер, так как в системе якобы отсутствует важная DLL.

В конечном счете загружается скрипт PowerShell, который имеет множество слоев шифрования. По словам экспертов, этот скрипт очень похож на тот, что использует группировка MuddyWater.

Попав на компьютер, вредонос способен предоставить злоумышленникам полный контроль над системой жертвы.

Мошенники атакуют пользователей взрослых чатов

В последнее время резко растёт число случаев шантажа пользователей онлайн-чатов для взрослых, где принято обмениваться интимными изображениями. Суммы выкупа в таких схемах доходят до семизначных значений. Злоумышленники проникают в закрытые чаты, получают доступ к личным фото и угрожают опубликовать их в открытом интернете, если не получат деньги.

О новой тенденции в онлайн-криминале сообщают «Известия». По некоторым данным, максимальный размер выкупа может достигать миллиона рублей.

«Анонимность в мессенджерах во многом иллюзорна. Многие ошибочно считают, что, сменив имя и настройки приватности в том же Telegram, они останутся «безликими», но это не так, — рассказал один из источников газеты. — С помощью запрещённых ботов злоумышленники без труда устанавливают ID пользователя, а в утёкших базах могут найти и номер телефона, привязанный к аккаунту.

После установления личности методами OSINT несложно определить круг общения человека, его близких родственников и друзей — люди сами активно делятся этой информацией в соцсетях и на различных платформах. Даже если на фото скрыто лицо девушки, своё тело она узнает без труда, а её спутник жизни сделает соответствующие выводы».

Как отметил сексолог Алексей Вилков, побочной чертой девиаций, связанных с демонстрацией интимных изображений близких, является выраженный страх разоблачения. Именно на этом и играют злоумышленники.

Существуют и другие формы шантажа. Часто вымогательству предшествует мимолётное виртуальное знакомство в популярных сервисах для свиданий. Затем общение, сопровождаемое обменом фотографиями, переносится в мессенджеры. Позднее переписку и изображения оттуда используют для давления на жертву.

Нередко угрозы подкрепляются демонстрацией интимных изображений, созданных с помощью нейросетевых сервисов. До недавнего времени такую возможность предоставлял чат-бот Grok, что в итоге привело к его запрету в ряде стран. Полученные материалы зачастую публиковались в открытом доступе, в том числе на платной основе.

Кроме того, так называемые «раздевающие» сервисы используют и для обработки фотографий, полученных из облачных хранилищ. Особенно тревожной тенденцией стало виртуальное раздевание детей и подростков.

«Всё чаще злоумышленники вынуждают детей участвовать в видеосъёмках с использованием различных манипуляций, а затем угрожают вечным позором перед сверстниками и семьёй, — рассказал источник издания. — Этот инструмент давления преступники используют для достижения самых разных целей. Ребёнка могут заставить стать курьером или фактически «подписать» на тяжкое преступление. Интим-компромат — один из самых сильных рычагов воздействия, известны случаи подростковых суицидов из-за подобного контента, оказавшегося в чужих руках».

Ещё одной заметной тенденцией стали фальшивые сайты для взрослых, зачастую представляющие собой клоны популярных платформ. Через них злоумышленники собирают как персональные и платёжные данные моделей, вводимые при регистрации, так и сам контент.

При этом аферисты тщательно собирают информацию о потенциальных жертвах. Данные получают не только из открытых источников, но и из утёкших баз. Выкуп, как правило, требуют в криптовалюте и нередко — неоднократно. Дополнительную сложность для расследования создаёт тот факт, что преступники часто действуют из других юрисдикций.

RSS: Новости на портале Anti-Malware.ru