Подставной апдейт Emotet прибьет зловреда на машинах жертв 25 апреля

Подставной апдейт Emotet прибьет зловреда на машинах жертв 25 апреля

Подставной апдейт Emotet прибьет зловреда на машинах жертв 25 апреля

Эксперты рассказали, как работает деинсталлятор Emotet, созданный в рамках трансграничной операции по уничтожению опасного ботнета, и уточнили дату раздачи этого обновления на зараженные компьютеры. По новым данным, запуск процесса автоочистки произойдет 25 апреля.

О перехвате контроля над инфраструктурой Emotet — результате совместных усилий правоохранительных органов разных стран — стало известно 27 января. Резидентные боты были перенаправлены на подставные C2-серверы и перестали получать команды. Информация, найденная на серверах ботоводов, позволяет идентифицировать очаги заражения и приступить к очистке.

Два таких контроллера находились на территории Нидерландов, 17 — в Германии. Для переадресации ботов на sinkhole-серверы германские специалисты создали обновление, которое резидентный зловред уже начал скачивать в соответствии со своим графиком.

Как оказалось, подложный апдейт также содержит модуль, выполняющий удаление Emotet после определенной даты. Ранее сообщалось, что этот дедлайн наступит 25 марта, однако анализ кода EmotetLoader.dll, проведенный в Malwarebytes, показал, что подпрограмма деинсталляции заработает с 25 апреля (значение поля tm_mon — месяц —указано как 3 при возможных вариантах от 0 до 11).

 

В результате такого обновления будут удалены Windows-службы, ассоциированные с Emotet, и ключ реестра, созданный им для обеспечения автозапуска.

Причины отложенного старта деинсталляции ботов по-прежнему неизвестны. Эксперты BleepingComputer попытались их выяснить, обратившись в Федеральное ведомство Германии по уголовным делам (Bundeskriminalamt, BKA), но получили отказ — правоохранители сослались на незаконченное расследование. 

Возможно, операторы sinkhole-серверов надеются за три месяца собрать больше информации о заражениях и географическом местоположении жертв. ИТ-службам организаций тоже на руку эта задержка: они смогут произвести аудит своих активов и принять меры при обнаружении непрошеного вторжения.

Маркетплейсы снова пускают с включенным VPN

Пользователи в соцсетях сообщают, что маркетплейсы снова начали открываться при включённом VPN. Похожая ситуация наблюдается и на других цифровых платформах. Это связывают с падением посещаемости и выручки после введения ограничений. При этом у пользователей некоторых VPN-сервисов проблемы всё ещё сохраняются.

О такой тенденции сообщает Hi-Tech Mail со ссылкой на публикации пользователей в соцсетях.

По их словам, при использовании как минимум трёх VPN-клиентов снова начали корректно открываться сайты и мобильные приложения Ozon, Wildberries, 2ГИС, «ВкусВилл», «Перекрёсток», «Пятёрочка», «Авито» и ряда сервисов Яндекса.

Впрочем, работоспособность сайтов и приложений остаётся выборочной. Авторы публикации также столкнулись с тем, что при заходе с включённым VPN или с зарубежного IP одни сервисы открывались корректно, а в других случаях доступ всё же обрывался. Кроме того, ситуация может отличаться в разных регионах России.

Формально ограничения для пользователей с включённым VPN начали действовать с 15 апреля, однако фактически они появились даже раньше. Пользователи жаловались на заметные задержки при загрузке карточек товаров и нестабильную работу сервисов.

После 15 апреля ограничения начали вводить и компании, которым этого напрямую не предписывали. Это связывали с тем, что средства подмены сетевых адресов мешали корректной работе их внутренних сервисов.

Однако уже через неделю после введения ограничений маркетплейсы столкнулись со снижением продаж на фоне падения посещаемости.

На площадках сократилось количество активных селлеров, ухудшился ассортимент, а часть покупателей перешла на альтернативные каналы — как офлайн, так и онлайн. В результате маркетплейсы начали смягчать ограничения, чтобы вернуть аудиторию.

RSS: Новости на портале Anti-Malware.ru