TrickBot-банда обновила свой бэкдор AnchorDNS до AnchorMail

TrickBot-банда обновила свой бэкдор AnchorDNS до AnchorMail

TrickBot-банда обновила свой бэкдор AnchorDNS до AnchorMail

Исследователи из IBM X-Force обнаружили новую версию бэкдора AnchorDNS, которого операторы TrickBot избирательно устанавливали на зараженные компьютеры. Этот дополнительный зловред стал еще более скрытным: для связи с C2 он использует не DNS-туннель, как прежде, а каналы электронной почты, защищенные шифрованием.

Бэкдор AnchorDNS появился на интернет-арене 2,5 года назад как компонент фреймворка Anchor. Стоящая за TrickBot группировка (ITG23, или Wizard Spider) пускала его в ход в тех случаях, когда мишень представляла для нее большой интерес. Для загрузки модуля постоянного доступа злоумышленники использовали основного трояна или специализированный софт — BazarLoader, он же BazarBackdoor.

Новая версия AnchorDNS, которую в IBM нарекли AnchorMail, по функциональности мало отличается от прежней. Написанный на C++ вредонос тоже умеет запускать полученные с C2 исполняемые файлы, DLL и шелл-коды, выполнять PowerShell-команды, удалять себя с зараженной машины.

Основное отличие AnchorMail — новый механизм C2-коммуникаций. Для обмена со своим сервером бэкдор использует протоколы SMTP (отправка сообщений) и IMAP (прием) с TLS-защитой.

Чтобы обеспечить себе постоянное присутствие в системе, зловред создает запланированное задание на запуск каждые 10 минут. В настоящее время AnchorMail атакует только Windows-компьютеры, однако можно ожидать, что его портируют на Linux, как это случилось с предшественником.

Находка встревожила экспертов: обновление бэкдора из арсенала TrickBot способно сделать атаки Conti еще более скрытными и опасными. Этот шифровальщик ранее часто распространялся с помощью трояна, а недавно этот симбиоз стал еще более тесным: многие разработчики и лидеры Wizard Spider перешли под крыло синдиката, созданного на основе Conti-сервиса.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Microsoft починила баг с обновлением до Windows 11 24H2 через WSUS

Если ты админ в компании и используешь WSUS для раздачи обновлений — хорошие новости: Microsoft наконец-то починила проблему, из-за которой Windows 11 24H2 не загружалась через локальный сервер обновлений.

Баг появился после апрельского патча безопасности (KB5055528, выпущен 8 апреля 2025 года) и вызывал у многих пользователей ошибки 0x80240069 при попытке обновиться с версий 22H2 или 23H2.

Служба обновлений Windows (wuauserv) просто «падала» и ничего не происходило. Проблема затрагивала только корпоративные среды — дома её никто не замечал, потому что WSUS (Windows Server Update Services) используется исключительно в бизнес-сетапах.

Это та самая система, которая позволяет централизованно управлять апдейтами, а не полагаться на то, что каждый ПК сам тянет их с серверов Microsoft.

Сейчас Microsoft начала раскатывать автоматический откат Known Issue Rollback (KIR), чтобы исправить ситуацию. Правда, пока ещё не на всех устройствах. Чтобы ускорить процесс, админам нужно вручную установить групповую политику KIR на затронутые машины с Windows 11 22H2 и 23H2.

Как это делается: через Group Policy Editor — на локальном ПК или на контроллере домена. После применения политики потребуется перезагрузка, чтобы всё заработало.

Подробная инструкция — как всегда — на сайте Microsoft в разделе документации.

И это ещё не всё. Microsoft призналась, что работает над устранением другой проблемы: некоторые ПК неожиданно обновляются до Windows 11, несмотря на запрет в политике Intune.

Такая «самодеятельность» уже случалась раньше — в ноябре компания сообщала о похожих случаях с серверами Windows Server 2019 и 2022, которые внезапно обновились до Server 2025 без спроса.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru