Обнаружен зловред, атакующий Windows через подсистему для Linux

Обнаружен зловред, атакующий Windows через подсистему для Linux

Обнаружен зловред, атакующий Windows через подсистему для Linux

Анализ вредоносных ELF-файлов, проведенный в подразделении Black Lotus Labs компании Lumen Technologies, показал, что они предназначены для исполнения в среде WSL (Windows Subsystem for Linux). Необычный зловред работает как загрузчик, обеспечивая скрытную установку сторонних скриптов на Windows.

Первые образцы новой угрозы начали раздаваться в начале мая, последний вирусописатель загрузил на сервер в августе. Во всех случаях код написан на Python и ориентирован на Debian.

Полезная нагрузка, доставляемая WSL-зловредом, либо встроена в его код, либо загружается с удаленного сервера. Ее внедрение в целевой процесс Windows осуществляется через перехват API-функций.

В результате атаки в системе запускается вредоносный сценарий PowerShell или шелл-код. Один из сэмплов в ходе тестирования попытался, используя Python-функции, прибить процессы антивирусов и анализаторов, установить веб-шелл и запустить PowerShell-скрипт, отрабатывающий каждые 20 секунд.

Новоявленный зловред пока плохо детектится антивирусами. Образец, загруженный на VirusTotal меньше месяца назад, вызвал реакцию лишь у одного сканера из шести десятков. Прогон другого сэмпла через эту коллекцию дал нулевой результат. В Black Lotus Labs пояснили: настройки защитного софта для Linux не предполагают проверку бинарников на использование вызовов API Windows.

В Black Lotus Labs пояснили: у большинства систем защиты конечных устройств Windows нет сигнатур для анализа ELF-файлов. А настройки защитного софта для Linux не предполагают проверку бинарников на использование вызовов API Windows.

На настоящий момент активность WSL-зловреда минимальна; не исключено, что он пока находится в стадии разработки, с тестированием промежуточных вариантов. Исследователи выявили лишь один публичный IP-адрес, с которым резидентный вредонос контактировал в июне-июле (итальянский 185[.]63[.]90[.]137, динамические порты 39000 – 48000). География очагов заражения ограничена Францией и Эквадором.

Примечательно, что скрипт, обнаруженный в самом раннем образце, выводил жертве приветствие — «Пивет Саня».

Мошенники крадут личности туристов для обмана других путешественников

Облюбовавшие Telegram мошенники предлагают аренду жилья российским любителям отдыха за рубежом, используя ранее украденные личные данные других обманутых туристов. Тренд уже приобрел массовый характер.

Целью данной аферы является отъем денег под предлогом оплаты брони. Очередное свидетельство подобного мошенничества представлено в телеграм-канале «База».

Задумав поездку в Таиланд, жительница Тулы Анастасия обратилась за помощью к менеджеру из контактов Дарьи Ловчевой. Та предложила несколько вариантов проживания в Пхукете и посоветовала почитать отзывы в созданной ею профильной группе.

После выбора претендентка скинула свои паспортные данные и внесла предоплату в размере 30%. Когда ей сообщили о необходимости уплаты еще 50% стоимости аренды, россиянка заподозрила подвох и потребовала возврат, однако собеседница исчезла из чата.

Как выяснилось, мошеннический сервис гостеприимства объявился в мессенджере в результате кражи личности Дарьи Логачевой, совершенной при аналогичном бронировании тайского жилья. Новоявленная туристка из Тулы теперь переживает, что ее данные тоже могут быть использованы для обмана других путешественников.

Схожим образом злоумышленники крадут деньги у желающих отдохнуть во Вьетнаме, Франции, Италии, Индонезии. Менее изощренные мошеннические схемы, ориентированные на туристов, обычно используют обзвон либо фишинговые сайты, активно плодящиеся перед долгими праздниками и в сезон летних отпусков.

RSS: Новости на портале Anti-Malware.ru