Бесфайловый вредонос прячется в журнале событий Windows

Бесфайловый вредонос прячется в журнале событий Windows

Бесфайловый вредонос прячется в журнале событий Windows

«Лаборатория Касперского» поймала трояна, который использует новую технику сокрытия в ОС — прячется в журналах событий Windows. Таким образом вредоносу удается оставаться незамеченным в файловой системе.

Сам метод зафиксировали в феврале 2022 года, а первые атаки с его использованием датируются аж сентябрем 2021-го. В Kaspersky говорят, что раньше не видели подобного — журнал событий используется для маскировки вредоноса в реальных атаках.

Специалисты пока не могут установить, кто стоит за атаками, но группировка выделяется патчингом «родных» API Windows, связанных с отслеживанием событий в ОС и интерфейсом AMSI.

 

Киберпреступники тщательно маскируют свои кампании: используют похожие на легальные доменные имена, частные серверы для хостинга и механизмы ухода от детектирования. Они даже выпускают собственные цифровые сертификаты.

Домен IP Впервые замечен ASN
eleed[.]online 178.79.176[.]136 15 января 2022 63949 – Linode
eleed[.]cloud 178.79.176[.]136 63949 – Linode
timestechnologies[.]org 93.95.228[.]97 17 января 2022 44925 – The 1984
avstats[.]net 93.95.228[.]97 17 января 2022 44925 – The 1984
mannlib[.]com 162.0.224[.]144 20 августа 2021 22612  – Namecheap
nagios.dreamvps[.]com 185.145.253[.]62 17 января 2022 213038 – DreamVPS
opswat[.]info 194.195.241[.]46 11 января 2022 63949 – Linode
178.79.176[.]1 63949 – Linode

Попавший в систему троян отправляет данные на удаленный сервер. Сама программа может снимать цифровой отпечаток зараженной машины, внедрять код в процессы, переходить в спящий режим или просто завершить сеанс операционной системы. Все команды отдаются командным центром — C2, находящимся под управлением злоумышленников.

Роскомнадзор заявил, что не блокирует PyPI

Роскомнадзор прокомментировал сообщения о проблемах с доступом к PyPI — официальному репозиторию пакетов для Python, откуда разработчики обычно тянут библиотеки через pip. Ведомство заявило, что доступ к ресурсам этого ИТ-проекта не ограничивает и проблем с ним не фиксирует.

Ранее российские разработчики сообщали, что pypi.org не открывается именно с российских IP-адресов, зато начинает работать после их смены. У части пользователей доступ уже восстановился, но осадочек, как говорится, остался.

PyPI — не просто очередной сайт для программистов. Это один из ключевых элементов Python-экосистемы, на которой завязаны машинное обучение, ИИ-проекты, аналитика, автоматизация, DevOps и куча корпоративных процессов.

Когда такой репозиторий внезапно перестаёт открываться, разработчики нервничают не из вредности, а потому что сборки, тесты и деплой могут быстро превратиться в тыкву.

На этом фоне комментарий Роскомнадзора выглядит как попытка погасить панику: ведомство утверждает, что PyPI не блокируется и ограничений с его стороны нет.

При этом сами жалобы пользователей никуда не исчезают: проблемы могли быть связаны с маршрутизацией, провайдерами, фильтрацией на отдельных участках сети или другими техническими причинами.

Похожая история уже была с GitHub. 20 мая 2026 года Роскомнадзор также заявлял, что в России нет проблем с доступом к платформе: API работает, регистрация пользователей доступна, проекты создаются без сбоев.

RSS: Новости на портале Anti-Malware.ru