Бесфайловый вредонос прячется в журнале событий Windows

Бесфайловый вредонос прячется в журнале событий Windows

Бесфайловый вредонос прячется в журнале событий Windows

«Лаборатория Касперского» поймала трояна, который использует новую технику сокрытия в ОС — прячется в журналах событий Windows. Таким образом вредоносу удается оставаться незамеченным в файловой системе.

Сам метод зафиксировали в феврале 2022 года, а первые атаки с его использованием датируются аж сентябрем 2021-го. В Kaspersky говорят, что раньше не видели подобного — журнал событий используется для маскировки вредоноса в реальных атаках.

Специалисты пока не могут установить, кто стоит за атаками, но группировка выделяется патчингом «родных» API Windows, связанных с отслеживанием событий в ОС и интерфейсом AMSI.

 

Киберпреступники тщательно маскируют свои кампании: используют похожие на легальные доменные имена, частные серверы для хостинга и механизмы ухода от детектирования. Они даже выпускают собственные цифровые сертификаты.

Домен IP Впервые замечен ASN
eleed[.]online 178.79.176[.]136 15 января 2022 63949 – Linode
eleed[.]cloud 178.79.176[.]136 63949 – Linode
timestechnologies[.]org 93.95.228[.]97 17 января 2022 44925 – The 1984
avstats[.]net 93.95.228[.]97 17 января 2022 44925 – The 1984
mannlib[.]com 162.0.224[.]144 20 августа 2021 22612  – Namecheap
nagios.dreamvps[.]com 185.145.253[.]62 17 января 2022 213038 – DreamVPS
opswat[.]info 194.195.241[.]46 11 января 2022 63949 – Linode
178.79.176[.]1 63949 – Linode

Попавший в систему троян отправляет данные на удаленный сервер. Сама программа может снимать цифровой отпечаток зараженной машины, внедрять код в процессы, переходить в спящий режим или просто завершить сеанс операционной системы. Все команды отдаются командным центром — C2, находящимся под управлением злоумышленников.

MacBook Neo записал на SSD почти 900 ГБ за три часа обычной работы

MacBook Neo может необычно быстро расходовать ресурс встроенного SSD из-за скромных 8 ГБ оперативной памяти. Во время одновременной работы Chrome, Discord и WhatsApp (принадлежит корпорации Meta, признанной экстремисткой и запрещённой в России) macOS активно использовала файл подкачки и за три часа записала на накопитель почти 900 ГБ данных.

На проблему обратил внимание автор YouTube-канала UFD Tech, протестировавший ноутбук в повседневном сценарии.

Когда оперативной памяти не хватает, система сжимает её содержимое, а часть информации отправляет на SSD. В итоге накопитель временно подрабатывает оперативкой, только его ресурс при этом не бесконечен.

После записи примерно 20 ТБ показатель износа SSD объёмом 256 ГБ вырос на 5%. На основании этих данных авторы оценили его полный ресурс примерно в 414 ТБ. Для версии с накопителем на 512 ГБ расчёт составил около 1,52 ПБ.

Если ноутбук будет постоянно писать по 900 ГБ каждые три часа, расчётный ресурс младшего SSD исчерпается за 1400 часов, или примерно 58 суток непрерывной работы.

Однако паниковать рано: цифра получена простой экстраполяцией одного эксперимента. Реальный износ зависит от нагрузки, алгоритмов macOS, распределения записей и состояния конкретного накопителя.

Главная неприятность в другом: оперативная память и SSD распаяны на материнской плате. Официально увеличить объём ОЗУ или заменить накопитель после износа нельзя.

RSS: Новости на портале Anti-Malware.ru