Операторы Qbot и Lokibot опять используют Regsvr32 для заражения Windows

Операторы Qbot и Lokibot опять используют Regsvr32 для заражения Windows

Операторы Qbot и Lokibot опять используют Regsvr32 для заражения Windows

Операторы Qbot и Lokibot вспомнили старый метод распространения вредоносных программ, известный как Squiblydoo. Его суть заключается в использовании документов Microsoft Office и процесса regsvr32.exe.

О новой активности киберпреступников рассказала команда исследователей из Uptycs. По словам специалистов, использование regsvr32.exe в атаках демонстрирует скачок за последние 2-3 месяца. Чаще всего атакующие задействуют файлы Excel, но встречаются и другие форматы документов.

Зачем злоумышленникам понадобилась утилита regsvr32.exe? Цепочка заражения, используемая в последних кампаниях Qbot и Lokibot, задействует regsvr32.exe для обхода списков блокировки, которые могут сорвать атаку. Отметим, что regsvr32 отвечает в системе Windows за регистрацию OLE, DLL и элементов управления ActiveX.

Киберпреступники используют утилиту для загрузки COM-скриптлетов из удалённого источника с помощью библиотеки scrobj.dll. В этой схеме regsvr32 помогает им зарегистрировать OCX-файлы. Такая техника получила имя «Squiblydoo», злоумышленники используют её с 2017 года.

В кампаниях Qbot и Lokibot атакующие прибегают к документам форматов Excel, Word, RTF и т. п. Они отличаются наличием вредоносных макросов, которые запускают regsvr32 в качестве дочернего процесса.

Поскольку regsvr32 представляют собой «родной» инструмент Windows, у преступников появляется отличная возможность избежать детектирования защитными решениями. Эксперты опубликовали индикаторы компрометации, которые помогут организациям расследовать кибератаки.

История со слитыми переписками пользователей Telega быстро развалилась

Вокруг альтернативного клиента Telegram Телега вспыхнул новый скандал, продержался он недолго. Журналист ВГТРК Эдуард Петров сообщил, что в даркнете якобы появились предложения о продаже переписок пользователей Телеги. По его словам, киберпреступники готовы были предоставить 100 последних сообщений из чатов любых 10 пользователей за 155 тыс. рублей.

Звучало громко, но доказательств в публикации не было: ни ссылок, ни скриншотов, ни технических данных, ни подтверждения реальных сделок.

Команда Телеги назвала сообщение вбросом и заявила, что такой слив технически невозможен. В проекте подчеркнули, что автор публикации не запросил комментарий у команды и не предоставил источников. При этом разработчики заявили, что начали проверять возможные источники информации, но не нашли подтверждений.

Позже сам Петров удалил публикацию и извинился. Он признал, что после дополнительной проверки источник не предоставил никаких доказательств. Информация, по словам журналиста, оказалась непроверенной.

История произошла на фоне закрытия Телеги. Ранее команда проекта сообщила, что сервис прекратит работу с 1 июля из-за внешних ограничений со стороны технологических платформ и невозможности обеспечить полное соответствие действующим требованиям в формате телеграм-клиента.

У Телеги и до этого хватало проблем. В апреле стало известно, что Cloudflare пометил рабочие домены проекта как шпионские, после чего у клиента отозвали TLS-сертификат, а приложение удалили из App Store.

RSS: Новости на портале Anti-Malware.ru