Адваре DealPly использует Microsoft SmartScreen и McAfee WebAdvisor

Адваре DealPly использует Microsoft SmartScreen и McAfee WebAdvisor

Адваре DealPly использует Microsoft SmartScreen и McAfee WebAdvisor

Исследователи обратили внимание на новое интересное адваре под названием DealPly. Его особенность заключается в использовании сервисов Microsoft и McAfee, которые помогают вредоносу избежать детектирования.

Об адваре рассказали эксперты Ади Зелигсон и Ротем Кёрнер. Обычно DealPly проникает на компьютеры пользователей с установочными файлами легитимных программ.

После запуска вредонос копируется в директорию Windows %AppData% и добавляет себя в планировщик задач Windows — это гарантирует ежечасный запуск адваре. При каждом таком запуске зловред обращается к командному серверу C2 за инструкциями. Для этого посылаются специальные зашифрованные запросы через HTTP.

Сам вредонос модульный, он вполне может обнаружить виртуальную машину или снять цифровой отпечаток устройства.

А теперь самое интересное: один из последних образцов DealPly использует репутационные сервисы от Microsoft и McAfee, чтобы избежать детектирования в системе.

Речь идёт о Microsoft SmartScreen и McAfee WebAdvisor, бесплатных системах, которые используются для оценки риска файлов и ссылок. Если какой-либо из доменов был ранее занесён в чёрный список, эти сервисы предупредят об этом пользователя при попытке зайти на такой сайт.

«Мы подозреваем, что основная причина, по которой адваре использует сервисы репутации, кроется в возможности проверки своих файлов и ссылок. Если они уже были занесены в список, то нет смысла продолжать их использовать», — пишут исследователи.

В случае Microsoft SmartScreen DealPly запросит у своего командного центра хеши и URL, чтобы проверить их с помощью сервиса от Microsoft. Для этого отправляется JSON-запрос к API SmartScreen. В ответ сервис может прислать одно из трех состояний:

  • UNKN — неизвестный файл или URL.
  • MLWR — вредоносный файл или URL.
  • PHSH — фишинговый файл или URL.

Стоит отметить, что API SmartScreen нигде подробно не расписано, это значит, что киберпреступники проделали большую работу — провели обратный инжиниринг механизма SmartScreen.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В Reddit без спросу обкатали психологическое воздействие с помощью ИИ

Модераторы подфорума Change My View («Измени мое мнение», CMV) в Reddit направили жалобу в Цюрихский университет: группа исследователей тайно провела эксперимент с ИИ, в котором невольно приняло участие все сообщество.

ИИ-модель два месяца вбрасывала провокационные комментарии в ветку; ученые таким образом проверяли ее умение убеждать. По окончании эксперимента они соблаговолили поставить модераторов в известность и сознались в нарушении правил CMV (там запрещено использовать боты и ИИ).

Для публикации реплик исследователи создали ряд вымышленных персонажей — жертв насилия, консультантов-психологов, противников сектантства и протестных движений. Некоторые фейковые аккаунты админы Reddit выловили и забанили за нарушение пользовательского соглашения.

Сами исследователи, по их словам, комментарии не постили, только вручную проверяли каждую реплику ИИ на предмет потенциально вредного контента. Для персонализации реплик другая ИИ-модель собирала в Reddit пользовательские данные, такие как пол, возраст, этническая принадлежность, местоположение, политические взгляды.

Согласия «подопытных кроликов» при этом никто не спрашивал — для чистоты эксперимента.

Получив разъяснительное письмо, модераторы CMV направили в университет официальную жалобу, предложив публично извиниться за неэтичное поведение исследователей и отказаться от публикации результатов эксперимента.

В ответ на претензии представитель вуза заявил, что научному руководителю ИИ-проекта объявлен выговор. Также будут приняты меры, чтобы подобного не повторилось, но отменять публикацию никто не собирается: результаты проделанной работы важны для науки, а вред от эксперимента минимален.

И претензии, и реакция учебного заведения были опубликованы в CMV. Пользователи до сих пор комментируют этот пост, высказывая свое возмущение.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru