Wslink: загрузчик бесфайловых Windows-зловредов, работающий как сервер

Wslink: загрузчик бесфайловых Windows-зловредов, работающий как сервер

Wslink: загрузчик бесфайловых Windows-зловредов, работающий как сервер

Исследователи из ESET представили результаты анализа недокументированного вредоносного загрузчика для Windows, которого они нарекли Wslink. Данный зловред примечателен тем, что в отличие от своих собратьев работает в системе как сервис и загружает получаемые модули непосредственно в память, без записи на диск.

Вредоносная активность, связанная с Wslink, низка: за последние два года выявлено несколько заражений в Центральной Европе, Северной Америке и на Ближнем Востоке. Первоначальный вектор атаки не установлен, конечная цель злоумышленников тоже неясна — экспертам не удалось заполучить модули, загружаемые вредоносом.

Для защиты своего детища от анализа вирусописатели используют упаковщик MPRESS и виртуализируют часть кода. Чтобы выяснить, как можно задетектировать зловреда, в ESET был создан собственный клиент Wslink. Сходства по коду, функциям или рабочей инфраструктуре с инструментами какой-либо их известных хакерских групп не обнаружено.

Вредоносный загрузчик прописывается в системе как сервис и слушает все сетевые интерфейсы на заданном через ключ реестра порту. Компонент, отвечающий за регистрацию Wslink-службы, пока неизвестен.

Установка внешнего соединения происходит через хендшейк с использованием вшитого в код 2048-битного публичного ключа RSA — для надежного обмена ключами шифрования данных в канале (AES-CBC 256 бит). Получаемые Wslink модули снабжены цифровой подписью, для ее расшифровки оператор присылает дополнительный ключ.

Расшифрованный модуль (обычный PE-файл) загружается в память с помощью библиотеки MemoryModule, доступной на GitHub. Примечательно, что в параметры экспорта при этом включается такая информация, как функции, необходимые для коммуникаций, сокет, ключ шифрования и вектор инициализации (IV). Таким образом, вредоносный модуль после запуска может пользоваться уже установленным соединением — вместо того, чтобы плодить новые, что может насторожить сетевую защиту.

Microsoft упростила удаление Copilot из Windows 11 после волны недовольства

После месяцев навязчивого ИИ-энтузиазма Microsoft внезапно решила сделать то, чего пользователи Windows 11 ждали с самого появления Copilot: дать возможность нормально удалить его из системы. Без плясок с PowerShell, без шаманства с AppxPackage и без ощущения, что ты пытаешься выковырять Edge из Windows в 2018-м.

Как выяснило издание Windows Latest, в апрельском обновлении Windows 11 за 2026 год Microsoft добавила новую групповую политику — «Remove Microsoft Copilot app».

Причём политика удаляет не только обычный Copilot, но и Microsoft 365 Copilot — того самого ИИ-помощника, которого Microsoft активно запихивает в Office для обычных пользователей и корпоративных клиентов.

И тут особенно смешно вот что: компания добавила этот инструмент почти тайком. Видимо, после бесконечных жалоб, мемов и массового игнора ИИ-функций Microsoft решила действовать потише.

Сама логика работы политики тоже прекрасна. Copilot автоматически удалится только при выполнении нескольких условий:

  • Copilot и Microsoft 365 Copilot установлены в системе;
  • пользователь сам их отдельно не ставил;
  • Copilot не использовался больше 28 дней.

Новая политика работает в Windows 11 Pro, Enterprise, Education и LTSC. Владельцам домашней версии, как обычно, предлагают путь страданий через реестр.

Для этого нужно вручную создать раздел:

HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\WindowsAI

и добавить параметр:

RemoveMicrosoftCopilotApp = 1

После перезагрузки Copilot должен исчезнуть автоматически.

Ну а для тех, кто предпочитает старую добрую консольную хирургию, остаётся PowerShell:

Get-AppxPackage -AllUsers -Name "Microsoft.Windows.Ai.Copilot.Provider" | Remove-AppxPackage

Хотя сегодня всё стало заметно проще. Теперь Copilot можно удалить даже обычным правым кликом по приложению в меню «Пуск». Что звучит как достижение, хотя вообще-то так и должно было быть с самого начала.

Самое забавное во всей истории — Microsoft по-прежнему не спешит рассказывать, сколько людей реально пользуются Copilot на десктопах. И это, кажется, говорит о популярности функции лучше любой презентации.

RSS: Новости на портале Anti-Malware.ru