Microsoft предупреждает об атаках бесфайлового трояна Astaroth

Microsoft предупреждает об атаках бесфайлового трояна Astaroth

Команда исследователей в области безопасности Microsoft предупреждает о распространении бесфайлового трояна Astaroth. Злоумышленники загружают похищающий данные вредонос прямо в память компьютера жертвы.

Astaroth предназначен для кражи конфиденциальной информации. Используя свой модуль кейлоггера, троян фиксирует учетные данные пользователя. Также он способен перехватывать вызовы операционной системы и мониторить буфер обмена.

Еще одна опасная особенность этой вредоносной программы — использование командной строки Windows для скрытой загрузки и установки в фоне других зловредов.

Команда безопасников Microsoft оповестила об атаках трояна в Twitter. По словам экспертов, киберпреступники используют многоступенчатую схему заражения. Все начинается с целевого фишинга — жертве приходит электронное письмо, в котором содержится ссылка, ведущая пользователя на LNK-файл.

Этот файл, в свою очередь, запускает инструмент WMIC с параметром «/Format», что позволяет скачать и запустить код JavaScript.

Вся схема атаки, согласно отчету Microsoft, выглядит следующим образом:

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Microsoft предупредила о новом загрузчике, атакующем авиацию

Microsoft предупредила о киберкампании, в ходе которой злоумышленники атакуют целевым фишингом аэрокосмические и туристические организации. Интересной особенностью этих атак является использование нового загрузчика, доставляющего на компьютеры жертв трояны (RAT).

По словам Microsoft, наблюдавшей за активностью преступников последние несколько месяцев, вредоносная кампания весьма динамична. В качестве приманки используются PDF-документы, которые якобы напрямую связаны с деятельностью организаций аэрокосмического, туристического и промышленного секторов.

Как выяснили в ходе наблюдения специалисты, конечной целью злоумышленников была кража важных данных из скомпрометированных устройств. Для этого как раз используются RAT-вредоносы, способные фиксировать нажатия клавиш (кейлогер) и красть пароли сотрудников.

Помимо этого, операторы троянов получают возможность снимать скриншоты, записывать видео при помощи веб-камеры, мониторить буфер обмена и браузер, анализировать информацию о системе. Все сведения передаются через SMTP-порт 587.

Так выглядит пример фишингового письма:

 

Новый загрузчик получил имя «Snip3» (классификация Morphisec), именно он отвечает за установку в систему следующих вредоносов: Revenge RAT, AsyncRAT, Agent Tesla и NetWire RAT. Первым шагом в дело включаются VBS-файлы, которые по цепочке привлекают скрипт PowerShell.

При этом Snip3 способен вычислять присутствие песочницы или виртуальной среды, что позволяет ему препятствовать детектированию и анализу.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru