Правительственный бэкдор использует Windows BITS, чтобы скрыть трафик

Правительственный бэкдор использует Windows BITS, чтобы скрыть трафик

Новый бэкдор, замеченный в атаках правительственных кибершпионов, использует компонент Windows BITS (Background Intelligent Transfer Service), чтобы скрыть трафик, которым он обменивается с командным сервером.

По словам исследователей в области кибербезопасности, им известна группировка, стоящая за новым бэкдором. Ее имя — Stealth Falcon. Активность этих злоумышленников эксперты отслеживают уже несколько лет.

На сегодняшний день единственный отчёт об операциях Stealth Falcon принадлежит экспертам Citizen Lab, некоммерческой организации, специализирующейся на защите прав человека. Отчёт датируется 2016 годом.

Специалисты Citizen Lab утверждают, что эта группа действует с 2012 года. Ранее в ее атаках использовался другой бэкдор, надписанный на PowerShell.

Однако в опубликованном 9 сентября исследовании экспертов ESET утверждается, что Stealth Falcon перешла на использование нового инструмента, причём он ещё более изощрённый и скрытный.

Основным методом, которым пользуется бэкдор для сокрытия своей деятельности в системе, является компонент Windows, известный под аббревиатурой BITS. BITS — служба фоновой передачи файлов, осуществляемая между клиентом и сервером.

Выявив новый троян, сотрудники ESET присвоили ему имя — Win32/StealthFalcon. По их словам, вредонос работает как стандартный бэкдор, позволяющий операторам загружать и запускать код или извлекать данные, оправляя их на сервер злоумышленников.

В ESET подчеркнули, что Win32/StealthFalcon взаимодействует с командным центром (C&C) не через классические HTTP- или HTTPS-запросы, а пряча трафик внутри BITS. Исследователи полагают, что такой подход позволяет преступникам обходить файрволы — ведь все привыкли, что трафик BITS содержит лишь обновления софта, поэтому чаще всего его игнорируют.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

WannaCry по сей день заражает пользователей, а те платят выкуп

Более двух лет прошло с момента мощной атаки вымогателя WannaCry, но некоторые пользователи до сих пор умудряются попасться на крючок этой вредоносной программы. Хуже всего в этой ситуации тот факт, что пострадавшие пытаются заплатить злоумышленникам выкуп.

Даже в период первоначальной вспышки WannaCry оплата требуемого выкупа абсолютно ничего не решала. Тем более странно выглядит сегодняшняя ситуация, когда жертвы продолжают платить вымогателям.

Согласно отчёту компании Sophos, новые поступления на счета преступников легко отследить, так как связанные биткоин-аккаунты до сих пор активны. Сами переводы обезличены, однако трансакции общедоступны, что позволяет просмотреть статистику переводов.

Таким образом, сложившаяся ситуация доказывает, что WannaCry по сей день представляет угрозу и может создать определённые проблемы для невнимательных пользователей.

Эксперты ещё раз пытаются как можно доходчивее объяснить: оплата выкупа не вернёт ваши файлы, заплатив, вы лишь потеряете деньги, а взамен не подучите ровным счётом ничего.

Помимо этого, случаи заражения этой программой-вымогателем доказывают, что многие пользователи не установили патчи, устраняющие уязвимость EternalBlue.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru