WastedLocker обходит антивирусы с помощью менеджера кеша Windows 10

WastedLocker обходит антивирусы с помощью менеджера кеша Windows 10

WastedLocker обходит антивирусы с помощью менеджера кеша Windows 10

Шифровальщик WastedLocker за последние несколько недель наделал много шума в цифровом пространстве. Теперь, изучив досконально эту вредоносную программу, специалисты компании Sophos рассказали об интересной функциональной возможности WastedLocker, которая позволяет обходить защитные средства.

В первую очередь стоит отметить, что атаки WastedLocker приписали киберпреступной группировке Evil Corp, чьи корни якобы находятся в России. По традиции никаких доказательств связи Кремля и WastedLocker не предоставили.

Исследователи в области кибербезопасности из компании Sophos поделились отчётом, в котором подробно анализируются операции шифровальщика. Первое, на что стоит обратить внимание — вредоносная программа использует инструмент для управления кешем операционной системы (Windows Cache Manager).

С помощью легитимного компонента ОС злоумышленники обходят различные антивирусные программы, установленные в системах жертв.

Схема достаточно проста: WastedLocker открывает файл, «закидывает» его в Windows Cache Manager, после чего закрывает оригинальный процесс. Поскольку все необходимые данные теперь содержатся в менеджере кеша Windows, вымогатель начинает шифровать содержимое файлов, хранящихся в кеше, а не в файловой системе.

Если наполнить новыми данными контент файлов в кеше операционной системы, Windows Cache Manager в конце концов перезапишет новую информацию непосредственно в сам оригинальный файл.

Защитные программы увидят лишь процесс модификации файла со стороны вполне легитимного инструмента, поэтому никакого детекта не будет.

Напомним, что именно шифровальщик WastedLocker поразил техногиганта Garmin. По последним данным, корпорации пришлось выплатить $10 миллионов, чтобы получить дешифратор.

В московском метро начали проверять телефоны

В Московском метрополитене подтвердили, что сотрудники службы транспортной безопасности вправе требовать от пассажиров продемонстрировать работоспособность мобильного телефона. Как сообщили в пресс-службе столичной подземки, такие меры предусмотрены приказом Министерства транспорта России от 4 февраля 2025 года № 34 и при необходимости могут применяться дополнительно к уже действующим процедурам досмотра.

Об этом сообщило Агентство городских новостей «Москва». Поводом для обращения журналистов в пресс-службу метро стали сообщения в ряде телеграм-каналов о выборочных проверках телефонов у пассажиров.

«В рамках обеспечения требований безопасности, установленных приказом Министерства транспорта Российской Федерации, на объектах транспортного комплекса Москвы все пассажиры столичного метро проходят досмотр с использованием рамок металлодетекторов», — пояснили в пресс-службе Московского метрополитена.

Ранее аналогичные требования были введены и в метро Санкт-Петербурга. Это подтвердил вице-губернатор города Кирилл Поляков во время прямой линии. По его словам, мера продиктована соображениями безопасности, и он призвал пассажиров отнестись к ней с пониманием. При этом, как подчеркнул Поляков, для проверки достаточно лишь показать, что устройство включается, — снимать блокировку при этом не требуется.

Ранее петербургские СМИ сообщали, что сотрудники транспортной безопасности отказывали в провозе оборудования без автономного питания. В частности, речь шла о мониторах и настольных компьютерах.

RSS: Новости на портале Anti-Malware.ru