Приходящий через Word зловред грузит с Imgur картинку с Cobalt Strike

Приходящий через Word зловред грузит с Imgur картинку с Cobalt Strike

Приходящий через Word зловред грузит с Imgur картинку с Cobalt Strike

Обнаружена новая вредоносная программа для Windows, распространяемая через целевые email-рассылки. Цепочку заражения запускает макрос, встроенный в документ Word; после активации он загружает с GitHub сценарий PowerShell, который, в свою очередь, скачивает с Imgur код Cobalt Strike, спрятанный в изображении по методу стеганографии.

Автор находки предположил, что это очередное творение APT-группы MuddyWater, она же SeedWorm и TEMP.Zagros. Эти злоумышленники тоже используют многоступенчатых скриптовых зловредов и раздают их через электронную почту.

Тестирование, проведенное в BleepingComputer, подтвердило результаты, полученные исследователем. Декодирование шелл-кода Cobalt Strike — легитимного инструмента пентестинга — показало, что злоумышленники не только прячут его в PNG-картинке, но также пытаются выдать за безобидный EICAR-файл, проверяющий статус антивируса.

На самом деле эта полезная нагрузка обеспечивает связь с C2-сервером через интерфейс WinINet (Win32 Internet Extensions). На момент публикации заметки BleepingComputer домен, в котором авторы атаки подняли свой сервер, был вне доступа.

Этот домен, как выяснил обнаруживший зловреда исследователь, был зарегистрирован в районе 20 декабря. Отдача PowerShell-скрипта с GitHub началась 24 декабря, и тогда же появились первые образцы на VirusTotal.

Легитимные сервисы GitHub и Imgur далеко не первый раз используются для хранения и маскировки  вредоносного кода. Так, с GitHub совсем недавно загружал один из своих модулей самоходный бот Gitpaste-12, а Imgur в этом году отдавал картинки с кодом Mimikatz в рамках целевых атак на цепочки поставок в Японии и странах Западной Европы.

Подпишитесь на новости

Российская снаружи, импортная внутри: электронику проверят повторно

Производителям электроники станет сложнее однажды показать комиссии российские компоненты, получить место в государственном реестре, а затем заменить начинку дешёвыми иностранными аналогами. Власти начали проводить повторные проверки непосредственно на предприятиях.

О новой схеме контроля рассказал первый вице-премьер Денис Мантуров на форуме «Микроэлектроника — 2026», сообщает «Интерфакс».

По его словам, некоторые компании представляют для первоначальной оценки изделие, соответствующее требованиям локализации, но после включения в реестр меняют часть компонентов. В итоге оборудование остаётся российским на бумаге, а внутри постепенно переезжает за границу.

Теперь Минпромторг вместе с Росстандартом будет проверять продукцию повторно, уже на производственных площадках. Если компанию снова поймают на подмене компонентов, её предлагают исключать из реестра российской промышленной продукции на несколько лет. Правительство намерено поддержать эту инициативу.

Ответственность собираются распределить и на покупателей. Государственные и корпоративные заказчики, работающие по законам № 44-ФЗ и № 223-ФЗ, должны будут проверять, соответствует ли поставленное оборудование заявленному уровню локализации. При необходимости к экспертизе смогут привлекать Минпромторг, РСПП и профильных специалистов.

Одновременно власти переходят к балльной оценке происхождения продукции. Чем больше операций и компонентов локализовано в России, тем выше показатель изделия. Для телекоммуникационного оборудования такая система уже действует, а с января 2027 года её планируют распространить на интегральные микросхемы.

Российская наклейка, таким образом, перестаёт быть пожизненной индульгенцией. Теперь придётся доказывать происхождение электроники не только перед входом в реестр, но и после — когда коробка уже открыта.

RSS: Новости на портале Anti-Malware.ru