Хакеры используют Windows-команду Finger для загрузки вредоносного кода

Хакеры используют Windows-команду Finger для загрузки вредоносного кода

Обнаружена спам-рассылка, нацеленная на засев бэкдора MineBridge. Загрузка вредоносного кода в данном случае осуществляется с помощью Windows-команды Finger (finger.exe), обычно используемой для вывода информации о пользователях удаленной системы.

Бэкдор MineBridge впервые засветился на радарах ИБ-экспертов в начале прошлого года. На тот момент он распространялся через вредоносные email-рассылки, ориентированные в основном на финансовые организации США. Цепочка заражения запускалась при открытии вложенного документа Word, замаскированного под резюме соискателя вакансии, и исполнении встроенной макрокоманды.

Новая MineBridge-кампания использует ту же приманку. Прикрепленное к спам-письму «резюме» содержит запароленный макрос, который получателю предлагается запустить вручную.

 

Преодолев парольную защиту макрокода, эксперты BleepingComputer выяснили, что при запуске он использует команду Finger для загрузки с удаленного сервера исполняемого файла, замаскированного под цифровой сертификат. Содержимое этого файла закодировано по base64 и на поверку оказалось программой-загрузчиком. После расшифровки с помощью Windows-утилиты certutil загрузчик сохраняется в системе как %AppData%\vUCooUr.exe.

Запуск на исполнение зловредного «сертификата» влечет загрузку исполняемого файла TeamViewer. Вредонос также использует технику подмены DLL для загрузки динамической библиотеки MineBridge в память целевого процесса.

Выполнение кода MineBridge обеспечивает злоумышленнику полный доступ к зараженному ПК, позволяя получить информацию о системе управления учетными записями пользователей (UAC), просматривать список запущенных процессов, завершать работу Windows и перезагружать ее, выполнять различные шелл-команды, включать и выключать микрофон TeamViewer, загружать, модифицировать и удалять произвольные файлы.

О возможности злоупотребления finger.exe с целью загрузки вредоносного кода эксперты предупреждали несколько месяцев назад. В настоящее время эта команда редко используется, и сисадминам рекомендуется ее заблокировать — через AppLocker или каким-либо другим способом.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Anonymous взломали хостера Epik и слили его внутренние данные за десять лет

Знаменитая группа «хактивистов» Anonymous взломала базу Epik, хостера и регистратора доменных имён. Epik известен тем, что пригрел на своей площадке ряд сайтов, пропагандирующих правые взгляды: Gab, Parler и The Donald.

Сам взлом произошёл 28 февраля, а известно о нём стало только на этой неделе. Так описывают инцидент сами члены Anonymous:

«Собрали внутренние данные этой компании за десять лет. Да, именно так».

 

Издание The Record смогло получить ряд семплов скомпрометированных записей. А вот представители Epik пока отрицают сам факт взлома, заявляя буквально следующее:

«Нам не известно ни о каком взломе. Компания привыкла очень серьёзно относиться к безопасности данных наших клиентов, поэтому мы инициировали расследование».

Тем не менее полученные The Record данные говорят о том, что взлом всё-таки был. В частности, слова хакеров подтверждает торрент-файл размером 32 ГБ, размещённый на ресурсе DDoSecrets. В этом файла содержится внутренняя информация, явно принадлежащая вышеупомянутому хостеру.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru