Невидимый PowerShell-бэкдор маскируется под процесс обновления Windows

Невидимый PowerShell-бэкдор маскируется под процесс обновления Windows

Невидимый PowerShell-бэкдор маскируется под процесс обновления Windows

Эксперты наткнулись на ранее не упоминавшийся PowerShell-бэкдор, который крайне сложно детектировать в системе Windows. Успех незаметной работы вредоноса объясняется маскировкой под часть процесса обновления Windows.

Томер Бар, возглавляющий команду исследователей в SafeBreach, описывает киберугрозу следующим образом:

«Незаметно работающая вредоносная программа, а также связанный с ней командный сервер (C2) являются делом рук неизвестной, но хорошо подготовленной группировки. В настоящее время известно, что эта группа атаковала приблизительно 100 жертв».

В атаках с участием упомянутого PowerShell-бэкдора фигурирует вредоносный документ в формате Microsoft Word (детект на VirusTotal). Его метаданные позволяют предположить, что злоумышленники начинают атаку с целевого фишинга, ориентированного на пользователей LinkedIn.

При запуске Word-документа на компьютере жертвы выполняется скрипт PowerShell со встроенным макрокодом.

 

Script1.ps1 (детект на VirusTotal) предназначен для подключения к C2 и получения команд. Далее в ход вступает второй скрипт — temp.ps1, пытающийся выполнить эти команды в системе. Интересно, что авторы вредоноса допустили ошибку, которая позволила восстановить команды, поступающие от сервера:

  • извлечение списка запущенных процессов;
  • перечисление файлов в определённых директориях;
  • запуск whoami;
  • удаление файлов.

ФБР признало покупку данных о местоположении граждан США

ФБР подтвердило, что покупает коммерчески доступные данные, включая сведения о местоположении американцев, чтобы использовать их в расследованиях. Об этом на слушаниях в Конгрессе заявил директор бюро Каш Патель. Это первое официальное подтверждение такой практики со стороны ФБР с 2023 года.

Поводом стал вопрос сенатора Рона Уайдена, который спросил, готово ли бюро отказаться от покупки геоданных граждан США без ордера.

Патель на это отвечать в таком ключе не стал и заявил, что ФБР использует «все инструменты» для выполнения своей работы. По его словам, бюро действительно приобретает коммерчески доступную информацию и считает, что действует в рамках Конституции и закона об электронных коммуникациях.

Суть спора здесь довольно чувствительная. Обычно, если государству нужна частная информация о человеке, ведомство должно убедить суд выдать ордер.

Но в последние годы американские структуры всё чаще обходят этот этап: вместо запроса к технологической компании или оператору они просто покупают нужные массивы данных у брокеров, которые собирают их через мобильные приложения, рекламные платформы и другие коммерческие каналы.

Именно это Уайден и назвал «возмутительным обходом Четвёртой поправки» — той самой, которая защищает людей в США от необоснованных обысков и изъятий данных.

Пока ФБР придерживается позиции, что ордер для такой покупки не нужен, но, как отмечают СМИ, эта правовая логика ещё не проходила полноценную судебную проверку.

RSS: Новости на портале Anti-Malware.ru