Распространители Qbot начали использовать MSI-инсталляторы Windows

Распространители Qbot начали использовать MSI-инсталляторы Windows

Распространители Qbot начали использовать MSI-инсталляторы Windows

Эксперты BleepingComputer предупреждают о новом векторе атаки Qbot: в спам-письмах ссылкой указан запароленный ZIP-файл, содержащий установочный MSI-пакет для развертывания трояна средствами Windows. По всей видимости, основной причиной смены тактики является решение Microsoft осложнить включение макросов вручную в офисных программах.

Ранее злоумышленники обычно раздавали Qbot с помощью документов Office со встроенным макрокодом. Чаще всего это были файлы Excel, но использовались и другие форматы. Получателя вредоносного письма надо было просто убедить включить нужную функцию.

В феврале этого года Microsoft объявила о своем намерении спрятать кнопки активации макросов в ряде офисных приложений. Изменение, вступившее в силу с начала текущего месяца, призвано усилить защиту от вредоносных программ, доставляемых на Windows-машины с помощью VBA-загрузчиков. В начале года разработчик с той же целью дефолтно отключил для всех пользователей Microsoft 365 аналогичную функцию Excel 4.0 (макросы XLM), которая к тому же устарела.

Зловред Qbot, он же Qakbot, Quakbot и Pinkslipbot, известен ИБ-сообществу с 2007 года. Он умеет воровать финансовую информацию и учетные данные, регистрировать клавиатурный ввод, открывать бэкдор,  а также самостоятельно распространяться по сети и развертывать в ней других зловредов, в том числе шифровальщиков.

Злоумышленники в основном используют трояна для проведения целевых атак. Вредонос постоянно совершенствуется и со временем научился очень быстро добывать нужные сведения и разбегаться по атакуемой сети. По последним данным, на кражу информации из браузеров и Outlook он тратит не более получаса, на заражение других машин в сети — примерно 50 минут.

Российские операторы начали открывать зарубежные сервисы без VPN

МТС и «Билайн» предлагают абонентам доступ к отдельным зарубежным платформам без VPN, прокси-приложений и ручной настройки смартфона. Маршрутизацией занимается сам оператор, а пользователь просто выбирает сервис и переходит к нему через приложение или подключённую подписку.

МТС запустил решение «Глобальный доступ», в которое вошли Spotify, Netflix, Ticketmaster и Strava.

Перейти на площадки можно из личного кабинета, а оплатить подписку — с мобильного счёта через встроенные финансовые инструменты. В дальнейшем компания планирует расширять список ресурсов. Доступность функции зависит от тарифа и условий оператора.

Похожую возможность «Билайн» добавил в июне в конструктор подписки. Клиенты могут самостоятельно выбирать объём мобильного интернета и дополнительные функции, включая работу с некоторыми зарубежными сервисами без сторонних средств обхода.

От полноценного VPN такая схема отличается принципиально. VPN создаёт зашифрованный туннель между устройством и удалённым сервером, часто меняя видимый IP-адрес. Операторское решение работает на уровне сети и перенаправляет запросы к заранее определённым ресурсам через собственную инфраструктуру.

По словам экспертов, механизм напоминает прозрачный прокси. Абонент ничего не устанавливает, но и анонимности не получает: оператор продолжает видеть соединение и контролирует маршрутизацию. Это не универсальная кнопка, а тщательно составленное меню из разрешённых площадок.

Главная задача операторов — сохранять стабильную работу таких маршрутов при изменении сетевых ограничений и не перегружать инфраструктуру. Для этого требуется постоянный мониторинг доступности и корректировка схем передачи трафика.

RSS: Новости на портале Anti-Malware.ru