Новый спам на сайтах: ссылки на Excel XLL загружают инфостилера RedLine

Новый спам на сайтах: ссылки на Excel XLL загружают инфостилера RedLine

Новый спам на сайтах: ссылки на Excel XLL загружают инфостилера RedLine

В рамках текущей киберкампании спамеры используют формы обратной связи на сайтах и обсуждение на форумах для распространения вредоносных ссылок. При открытии файла Excel XLL на Windows-машину загружается троянская программа RedLine, предназначенная для кражи конфиденциальной информации из приложений.

За последние две недели контактные формы BleepingComputer неоднократно использовались для отправки мошеннических сообщений с предложением продать рекламное место, ознакомиться с деталями платежа или порядком получения подарочной карты. Указанная ссылка ведет на страницу загрузки, отдающую файл XLL — расширение для Excel, позволяющее создавать высокопроизводительные функции.

Эта DLL-библиотека содержит функцию xlAutoOpen, которую Microsoft Excel выполняет при активации XLL.

 

Тестирование в лабораторных условиях показало, что загрузка DLL в данном случае происходит некорректно. Исследователям пришлось запускать процесс вручную — в Windows это можно сделать с помощью regsvr32.exe или rundll32.exe.

Как оказалось, авторы атаки используют файлы Excel XLL для доставки бинарников RedLine, загружаемых со стороннего сайта. Вредоносный код сохраняется в системе как %UserProfile%\JavaBridge32.exe, прописывается в реестре на автозапуск и начинает воровать информацию из браузеров, мессенджеров, FTP-, VPN- и почтовых клиентов.

Для раздачи вредоносных Excel XLL злоумышленники использовали в основном Google Диск. Одна из приманок — бесплатный доступ к бизнес-платформе Plutio — вела на специально созданный поддельный сайт провайдера.

Трое получили по 15 суток за велозамок на двери офиса Роскомнадзора

В Москве суд отправил под арест троих молодых людей, которые решили выразить протест весьма необычным способом: заблокировали вход в офис Роскомнадзора. Таганский районный суд назначил по 15 суток административного ареста Михаилу Чуанову, Кириллу Кривяку и Григорию Шакирову.

Об этом сообщили в пресс-службе столичных судов. По версии суда, молодые люди повесили на входную дверь здания РКН велосипедный замок и закрепили рядом плакат с критикой ведомства.

В итоге всех троих привлекли по ч. 1 ст. 19.3 КоАП, неповиновение законному распоряжению сотрудника полиции. Санкция по статье — административный арест, чем всё и закончилось.

Об инциденте телеграм-каналы писали ещё 12 января. По данным канала «Осторожно, новости», участники акции — члены незарегистрированной партии «Другая России Э. В. Лимонова». В своих лозунгах они выступали против решения Роскомнадзора замедлять Telegram.

Напомним, 10 февраля в ведомстве подтвердили: ограничения в отношении мессенджера сохранятся до тех пор, пока сервис, по мнению РКН, не начнёт соблюдать российское законодательство.

В Сети также появилось мнение, что мощностей технических средств противодействия угрозам (ТСПУ), которые Роскомнадзор использует для ограничения доступа к ресурсам оказалось недостаточно для одновременного воздействия на несколько крупных платформ. В результате ведомству приходится применять альтернативные технические методы.

RSS: Новости на портале Anti-Malware.ru