Операторы TrickBot проверяют разрешение экрана, чтобы избежать анализа

Операторы TrickBot проверяют разрешение экрана, чтобы избежать анализа

Операторы TrickBot проверяют разрешение экрана, чтобы избежать анализа

Операторы вредоносной программы TrickBot начали использовать новый способ, позволяющий установить разрешение экрана жертвы, а также обойти детектирование антивирусными продуктами и анализ со стороны ИБ-специалистов.

Авторы TrickBot ещё в прошлом году добавили новую функцию, дающую вредоносу возможность моментально прекращать работу, если он зафиксирует нестандартные разрешения экрана — 800x600 и 1024x768. Теперь исследователи наткнулись на новую вариацию атак TrickBot, в которых злоумышленники добавили HTML-вложениям код верификации.

Как отметил специалист, скрывающийся за псевдонимом TheAnalyst, новые вложения ведут себя иначе при открытии в виртуальной среде. Например, в реальную систему загружается ZIP-архив, а вот пользователя виртуальной машины аттач просто перенаправляет на официальный сайт ABC (American Broadcasting Company).

Письма операторов TrickBot замаскированы под уведомления о приобретении страховки. Если жертва клюнет на уловку и откроет HTML-вложение в браузере, запустится встроенный вредоносный скрипт и в систему установится пейлоад.

 

Помимо этого, на злонамеренной странице пользователя встречает сообщение, в котором отправитель просит дождаться загрузки документа. Также в HTML-коде есть пароль, который необходимо ввести для доступа к упомянутому документу.

Атакующие используют метод HTML smuggling («контрабанда HTML»), позволяющий обойти фильтрацию контента в браузере и поместить вредоносный файл в систему жертвы. Эта техника встречается впервые у TrickBot, однако в целом она не новая.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Межсетевой экран InfoWatch ARMA Стена получил сертификат ФСТЭК России

Межсетевой экран нового поколения InfoWatch ARMA Стена (NGFW) прошёл сертификацию ФСТЭК России и получил четвёртый уровень доверия. Это значит, что решение официально признано пригодным для использования на объектах критической информационной инфраструктуры.

Продукт соответствует требованиям ФСТЭК России к межсетевым экранам типа «Б» и «Д» 4 класса, а также к системам обнаружения вторжений с тем же уровнем защиты.

По классу «Б» решение подходит для корпоративных сетей, а по классу «Д» — для промышленных объектов, включая АСУ ТП, так как поддерживает работу с промышленными протоколами.

Сертификат подтверждает, что InfoWatch ARMA Стена можно применять в системах, где обрабатываются конфиденциальные данные, сведения, составляющие гостайну, и персональная информация.

В компании отмечают, что единый подход к работе с корпоративным и промышленным трафиком позволяет сократить затраты на администрирование и обучение сотрудников.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru