Хакеры прячут вредонос в снимках с космического телескопа Джеймс Уэбб

Хакеры прячут вредонос в снимках с космического телескопа Джеймс Уэбб

Хакеры прячут вредонос в снимках с космического телескопа Джеймс Уэбб

Специалисты по кибербезопасности выявили новую вредоносную кампанию, которую назвали “GO#WEBBFUSCATOR”. Злоумышленники рассылают фишинговые сообщения с вложенными злонамеренными документами. Картинка-приманка использует снимок с космического телескопа «Джеймс Уэбб».

Сам вредонос, распространяемый в этой кампании, написан на Golang. Напомним, что этот язык все чаще используется злоумышленниками, которые любят его за кросс-платформенность (позволяет писать под Windows, Linux, macOS) и устойчивость к обратному инжинирингу и анализу.

В свежей кампании, привлекшей внимание специалистов Securonix, атакующие копируют в систему пейлоад, который пока не детектируется антивирусными движками на VirusTotal.

Все начинается с фишингового письма с вложенным документом “Geos-Rates.docx”. Именно он загружает файл шаблона, содержащий обфусцированный VBS-макрос. Если у пользователя включена эта функциональность в Office, вредоносный код скачивает изображение в формате JPG — “OxB36F8GEEC634.jpg” с удаленного сервера xmlschemeformat[.]com.

На следующем этапе изображение декодируется в исполняемый файл msdllupdate.exe с помощью certutil.exe, который следом запускается. Кстати, JPG при открытии демонстрирует пользователю скопление галактик SMACS J0723.3-7327, опубликованное НАСА в июле 2022 года.

 

Но помимо изображения, файл несет дополнительный контент, замаскированный под сопутствующий сертификат. На деле это зашифрованный Base64 пейлоад, который превращается в 64-битный исполняемый файл. Для закрепления в системе вредонос копирует себя в директорию “%%localappdata%%\microsoft\vault\” и добавляет новый ключ в реестре.

В отчете Securonix специалисты приводят индикаторы компрометации (IoC).

Касперская предложила посчитать, сколько россиян сидят в Telegram через VPN

Президент InfoWatch Наталья Касперская рассказала о любопытном диалоге с Роскомнадзором во время встречи ведомства с российскими разработчиками программного обеспечения. Главной темой неожиданно стала эффективность блокировок Telegram и других интернет-ресурсов.

По словам Касперской, она напрямую спросила представителя Роскомнадзора, считает ли ведомство такие меры успешными. Ответ был однозначным: да, считает.

После этого предпринимательница решила провести небольшой экспресс-опрос прямо в зале и поинтересовалась у участников встречи, кто из них пользуется Telegram. Руки подняли все присутствующие.

На это председательствующий, как утверждает Касперская, отреагировал фразой: «Ну что, тогда у вас и проблем нет».

История быстро разошлась по соцсетям. Сама Касперская признала, что ответ получился остроумным, но вопросов у неё меньше не стало.

«Я не перестаю думать о целесообразности траты времени и государственных средств на то, что вообще не работает», — написала она в своём телеграм-канале.

По мнению главы InfoWatch, специалисты Роскомнадзора прекрасно понимают технические возможности и ограничения современных сетей связи, поэтому вопрос эффективности подобных ограничений заслуживает отдельного обсуждения.

В качестве примера Касперская предложила провести независимое исследование. По её мнению, ВЦИОМ или Mediascope могли бы оценить, сколько россиян сегодня используют VPN и имеют доступ к Telegram, чтобы получить объективную картину происходящего.

Напомним, ранее Роскомнадзор неоднократно критиковал Telegram за несоблюдение требований российского законодательства.

RSS: Новости на портале Anti-Malware.ru