Пользователей Windows через почту атакует шпионское трио

Пользователей Windows через почту атакует шпионское трио

Пользователей Windows через почту атакует шпионское трио

Эксперты Fortinet опубликовали подробный разбор недавней спам-кампании, целью которой являлся засев RAT-шпионов для Windows. При открытии документа Excel на машину жертвы загружались сразу три бесфайловых зловреда: Pandora hVCN, BitRAT и AveMaria, он же Warzone RAT.

Поддельные письма оформлены как уведомление о проведенных платежах и содержат вложение в формате .xlam с вредоносным макросом. Если при открытии файла получатель проигнорирует предупреждение Microsoft Excel и разрешит запуск активного контента, на компьютер со стороннего сервера загрузится файл HTML с обфусцированным JavaScript кодом.

 

Цепочка заражения также предполагает использование PowerShell для доставки целевой полезной нагрузки — файла mainpw.dll весом 7,58 Мбайт с PowerShell-кодом, разделенным на три сегмента. Загрузка содержимого каждого из них в оперативную память осуществляется одинаково — по методу process hollowing.

Троян AveMaria обладает широким набором функций; он умеет отыскивать файлы по выбору, воровать данные из браузеров, почтовых клиентов и менеджеров паролей, регистрировать клавиатурный ввод, загружать и запускать дополнительный файлы. С его помощью можно получить доступ к зараженному устройству по RDP, через VPN или удаленный шелл, повысить привилегии в системе, перехватить управление веб-камерой.

Инструмент удаленного администрирования Pandora hVCN написан на C# и является коммерческим продуктом. Он обладает функциями, позволяющими похищать учетные данные из Chrome, Microsoft Edge, Firefox, Outlook, Foxmail и других популярных продуктов, а также поддерживает команды, необходимые для удаленного управления устройством — такие как запуск процесса, создание снимка экрана, имитация нажатия клавиш, перемещение курсора по экрану.

Вредонос BitRAT активно продвигается на хакерских форумах и теневых торговых площадках. Набор его функций весьма разнообразен; троян умеет открывать доступ к системе по RDP и через SOCKS-прокси, воровать информацию из браузеров и буфера обмена, регистрировать клавиатурный ввод, получать доступ к веб-камере и микрофону, генерировать DDoS-поток, загружать и запускать криптомайнер (XMRig).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Исследователи нашли способ хакнуть автобусы через бортовой Wi-Fi

На конференции DEF CON исследователи Чьяо-Лин «Steven Meow» Ю (Trend Micro Taiwan) и Кай-Чинг «Keniver» Ван (CHT Security) показали, как «умные» автобусы можно взломать удалённо — и последствия такого взлома могут быть куда серьёзнее, чем просто отключённый Wi-Fi.

Поводом для исследования стала бесплатная сеть в салоне автобуса.

Оказалось, что один и тот же M2M-роутер обслуживает не только пассажирский интернет, но и ключевые бортовые системы — APTS (управление маршрутами, расписаниями, GPS, панелями на остановках) и ADAS (ассистенты водителя, предотвращение столкновений, контроль полосы, распознавание знаков, видеонаблюдение в салоне).

Взлом оказался проще, чем ожидалось: аутентификацию роутера удалось обойти, а из-за отсутствия сегментации сети исследователи получили доступ ко всем подключённым сервисам.

Нашлись и серьёзные уязвимости — от возможности удалённого выполнения команд до MQTT-бэкдора, позволяющего подключаться к автобусу через интернет.

Демонстрация на DEF CON показала, что хакер может:

  • отслеживать точное местоположение автобуса,
  • подключаться к камерам с дефолтными паролями,
  • менять содержимое информационных дисплеев,
  • воровать данные водителей и пассажиров,
  • подделывать показания GPS, датчиков двигателя и даже статус «не на линии», чтобы сорвать расписание.

Шифрования и аутентификации в используемых протоколах нет вообще, поэтому атаки «человек посередине» легко позволяют подменять или подделывать данные.

Хотя тесты проводились в Тайване, разработчики систем предлагают интерфейсы на китайском, английском, японском и вьетнамском — значит, похожие уязвимые решения могут использоваться и в других странах.

Исследователи пытались уведомить производителей — американскую BEC Technologies (роутеры) и тайваньскую Maxwin (транспортные платформы), но ответа так и не получили. Уязвимости, судя по всему, до сих пор не исправлены.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru