Шифровальщик Mailto внедряется в Проводник Windows и обходит антивирусы

Шифровальщик Mailto внедряется в Проводник Windows и обходит антивирусы

Шифровальщик Mailto внедряется в Проводник Windows и обходит антивирусы

Семейство программ-вымогателей Mailto (NetWalker) научилось внедрять вредоносный код в легитимный системный процесс Проводника Windows (Windows Explorer). Благодаря этой тактике шифровальщик успешно обходит детектирование антивирусными средствами.

Впервые исследователи в области кибербезопасности заметили Mailto в августе 2019 года. Имя вымогатель получил из-за расширения, которое он добавляет к зашифрованным файлам.

Углубившись в анализ вредоноса, эксперты пришли к выводу, что его авторы называют его иначе — «NetWalker». Также специалисты сообщили, что Mailto атакует не только обычных пользователей, но и стремится проникнуть в корпоративные сети, чтобы потом зашифровать все подключённые устройства.

Совсем недавно разработчики шифровальщика оснастили своё детище возможностью прятать код в процессе Windows Explorer. Для этого вредонос использует интересную методику: Mailto запускает процесс в режиме отладки, после чего использует специальный API вроде WaitForDebugEvent для внедрения вредоносного кода.

В результате совершенно легитимный системный процесс explorer.exe выполнит злонамеренную нагрузку. Исследователи из Quick Heal поделились скриншотом, на котором отчётливо видна инъекция кода вымогателя:

Далее Mailto создаёт объект автозапуска в реестре Windows и уничтожает все теневые копии, чтобы жертва не смогла восстановить зашифрованные файлы.

Правительство скорректировало правила трансграничной передачи гостайны

Правительство внесло изменения в положение о подготовке к передаче сведений, составляющих государственную тайну, другим государствам или международным организациям. Документ был принят ещё в 1997 году и с тех пор неоднократно обновлялся.

Как напоминает ТАСС, положение определяет порядок передачи сведений с ограниченным доступом в соответствии с законодательством о государственной тайне за рубеж — иностранным государствам или международным организациям.

Документ устанавливает перечень обязательных процедур, а также порядок взаимодействия и уведомления уполномоченных государственных органов при такой передаче.

По оценке ТАСС, большинство внесённых изменений носит технический характер. Однако в документе появились и два принципиальных нововведения. В частности, после передачи сведений ограниченного доступа за пределы России теперь необходимо уведомить ФСБ в течение 30 дней.

Кроме того, больше не требуется включать в пакет документов предложение о заключении нового международного договора или о внесении изменений в действующий, если передача информации осуществлялась иностранному государству или международной организации, с которыми ранее такие соглашения не заключались.

RSS: Новости на портале Anti-Malware.ru