Зловредный PowerShell рубит сеть и стирает диски, когда недоволен условиями

Зловредный PowerShell рубит сеть и стирает диски, когда недоволен условиями

Зловредный PowerShell рубит сеть и стирает диски, когда недоволен условиями

Эксперты Securonix рассказали об интересном способе заражения, который избрали хакеры, рассылающие адресные письма некоторым военным подрядчикам. Доставка целевого зловреда осуществляется с помощью восьми промежуточных PowerShell-загрузчиков (стейджеров); один из них тщательно проверяет среду исполнения и мстит, если его что-то не устраивает.

Вредоносным имейл-атакам подвергались в основном частные компании, производящие средства вооружения. Опасные фальшивки получили также сотрудники компании-поставщика узлов для истребителей F-35 Lightning II.

Анализ показал, что вложенный ZIP в данном случае содержит LNK-файл с двойным расширением (.pdf.lnk) — для маскировки. При исполнении он подключается к C2-серверу и запускает цепочку заражения.

 

Примечательно, что для выполнения команд начальный загрузчик использует утилиту FORFILES вместо привычной cmd.exe. Все стейджеры запускаются с помощью powershell.exe, которую LNK копирует в C:\Windows, переименовывая в AdobeAcrobatPDFReader.

Семь сгруппированных PowerShell-скриптов сильно обфусцированы с использованием разных техник — перестановки и замены символов, нестандартных форм записи чисел, изменения порядка операторов, построчного сжатия и проч.

Самым интересным оказался предпоследний стейджер — он прилагает много усилий для сокрытия непрошеного вторжения и обеспечения адекватной рабочей среды:

  • пытается обойти AMSI-защиту Windows, отключая режим анализа кодов;
  • сверяется со своим списком процессов, связанных с отладкой и мониторингом;
  • с помощью WMI проверяет разрешение экрана (высота должна превышать 777 пикселей), емкость памяти (более 4 Гбайт), дату установки ОС (более чем трехдневной давности);
  • с помощью PowerShell-команд проверяет наличие виртуальной среды и связи с доменом Active Directory.

Если хотя бы один результат неудовлетворителен, вредоносный скрипт отключает сетевые адаптеры, блокирует весь входящий и исходящий трафик (изменяет настройки брандмауэра Windows с помощью netsh), удаляет все файлы в папке «Пользователи» и на дисках G:\, F:\ и E:\, а затем выключает компьютер (через командлет Stop-Computer). Единственное препятствие, не вызывающее столь бурной реакции — это русский или китайский язык интерфейса в настройках системы. В таких случаях вредонос просто завершает свой процесс.

Когда результаты проверок удовлетворительны, скрипт переходит к следующему этапу обеспечения адекватной рабочей среды. Он отключает регистрацию блоков сценариев PowerShell (записи о запускаемых скриптах в журнале Windows), трассировку событий PowerShell и журнал приложений (с помощью командлета Remove-EtwTraceProvider). При доступности админ-привилегий зловред также нейтрализует Microsoft Defender — добавляет в исключения файлы .lnk, .rar, .exe, важные для работы папки, процессы forfiles.exe, powershell.exe, cmd.exe, а также отключает сканирование архивных файлов.

Способы обеспечения постоянного присутствия тоже разнообразны: добавление ключей реестра, создание новых запланированных заданий, своего ярлыка (MicrosoftWS.lnk) в стартовый каталог, новой подписки на события WMI.

Финальную полезную нагрузку определить не удалось: содержимое файла header.png было зашифровано по AES, но попытки расшифровать выдавали лишь бессмысленный набор данных.

Для создания командной инфраструктуры злоумышленники в июле зарегистрировали около десятка доменов с одинаковы именем — terma, но в разных TLD-зонах (.dev, .vip, .wiki и т. п.). Для хостинга вначале использовались серверы DigitalOcean, позднее — Cloudflare.

Узконаправленная киберкампания мастеров маскировки немного напоминает Konni-атаки  APT37, но их действия более изощренны и скрытны. Судя по всему, целевой файл header.png уже изъят из раздачи, вредоносные рассылки тоже сошли на нет.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Фото, адрес, школа: что дети выкладывают в Сеть — и попадают под удар

Дети и подростки в России всё чаще размещают личную информацию в открытом доступе, особенно в социальных сетях. Это явление — так называемый «овершеринг» — становится одной из причин роста кибербуллинга.

По данным центра «Безопасность 2.0» Российского фонда мира, на конец мая текущего года зафиксирован 7% рост случаев онлайн-травли детей и подростков.

Как сообщили «Известия», в статистику включены только инциденты, произошедшие в публичных сообществах с аудиторией от 100 человек. В 2024 году, по оценке, рост составил 15% в годовом выражении.

Эксперты связывают ситуацию с чрезмерной открытостью: дети и подростки публикуют в Сети откровенные или потенциально компрометирующие фото и видео, делятся информацией о себе, местах пребывания, школе, родственниках и друзьях. В центре «Безопасность 2.0» назвали овершеринг одним из самых опасных онлайн-феноменов.

«Даже на первый взгляд безобидную информацию можно высмеять, выдать за нелепую или использовать в качестве наживки. Раньше подобные сведения распространялись ограниченным кругом знакомых, а теперь становятся доступными практически любому пользователю, не всегда настроенному доброжелательно», — прокомментировала доцент Государственного университета управления, кандидат психологических наук Светлана Гришаева.

Особое беспокойство вызывают случаи, когда кибербуллинг принимает особенно жёсткие формы — с публикацией контента, направленного на публичное унижение. По словам руководителя центра мониторинга «Безопасность 2.0», первого вице-президента Российского фонда мира Елены Суторминой, новая тенденция — это модификация фото и видео с помощью нейросетей. Это усиливает унизительный эффект и делает атаки более травмирующими.

«Кибербуллинг затрагивает самые чувствительные стороны личности. Чем больше информации о человеке есть у агрессора, тем проще ему найти и задеть эти уязвимые точки — даже случайным методом», — добавила Светлана Гришаева.

Согласно опросу ВЦИОМ, проведённому в марте 2025 года, россияне считают кибербуллинг одной из главных интернет-угроз наряду с мошенничеством, вовлечением в незаконную деятельность и распространением нежелательного контента. При этом большинство респондентов слабо осведомлены о возможностях борьбы с онлайн-травлей.

Юрист по безопасности электронных сделок Илья Васильчук напомнил, что российское законодательство предусматривает механизмы защиты. Важно своевременно зафиксировать факт нападок и обратиться в компетентные органы. Кибербуллинг может подпадать под действия сразу нескольких статей УК РФ: 128.1 (клевета), 137 (нарушение неприкосновенности частной жизни) и 138 (незаконный доступ к информации).

«Федеральный закон об образовании обязывает школы и другие учебные заведения защищать детей от насилия и агрессии. Если травля носит серьёзный характер и включает в себя оскорбления, угрозы, шантаж или распространение порочащих сведений — обращайтесь в полицию», — подчеркнул Илья Васильчук.

Семейный и детский психолог Мария Тодорова акцентирует внимание на важности эмоциональной связи между родителями и ребёнком: «Ребёнок должен опираться не на мнение сверстников, а на близких взрослых, которым доверяет. Когда основная привязанность смещается к ровесникам, ребёнок становится особенно уязвим: любое давление или отвержение воспринимается как угроза его существованию».

По словам эксперта, задача родителей — вернуть себе роль значимого взрослого: «Если у ребёнка есть взрослый, к которому он может обратиться со страхом, тревогой или стыдом — это уже защита. Всё остальное можно выстроить позже».

Управляющий директор iTPROTECT Максим Головлев подчеркнул, что технические меры должны быть направлены не на полную изоляцию ребёнка от интернета — что невозможно, — а на сокращение поверхности атаки. В приоритете — базовая цифровая гигиена: запрет на установку сторонних приложений, использование антивирусных решений, фишинг-фильтров и веб-фильтрации.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru