Уязвимость VMware Workspace помогает доставлять майнеры и шифровальщиков

Уязвимость VMware Workspace помогает доставлять майнеры и шифровальщиков

Уязвимость VMware Workspace помогает доставлять майнеры и шифровальщиков

Эксперты Fortinet рассказали об атаках на платформы VMware Workspace ONE через RCE-уязвимость, которую разработчик закрыл еще в апреле. Пользователи, видимо, не торопятся ставить важный патч, так как попытки эксплойта наблюдаются до сих пор.

Критическая уязвимость CVE-2022-22954 в системах контроля доступа Workspace ONE Access и Identity Manager позволяет удаленно выполнить вредоносный код посредством инъекции на стороне сервера. Попытки злонамеренного использования дыры были зафиксированы через несколько дней после публикации, усилились в мае и, согласно Fortinet, все еще актуальны.

Доставляемая через эксплойт полезная нагрузка в большинстве случаев нацелена на поиск конфиденциальных данных — паролей, файлов hosts и т. п. В августе злоумышленники разнообразили свое меню: активно внедряли самоходные DDoS-боты на основе Mirai, трояна GuardMiner и шифровальщика RAR1.

 

Исследователей особо заинтересовала атака, в ходе которой использовались два разных инициализатора — init.ps1 для Windows и init.sh для Linux. Скрипт PowerShell загружает через шлюз Cloudflare IPFS следующие файлы:

  • phpupdate.exe — майнер монеро;
  • config.json — конфигурационный файл для майнинг-пула;
  • networkmanager.exe — сканер для дальнейшего распространения инфекции;
  • phpguard.exe — охранник, отвечающий за непрерывную работу майнера;
  • clean.bat — скрипт, удаляющий с хоста конкурирующие майнеры;
  • encrypt.exe — шифровальщик RAR1.

Если ресурс в CDN-сети Cloudflare недоступен, загрузка осуществляется из резервного домена crustwebsites[.]net.

Вымогательская программа RAR1 незамысловата: для преобразования файлов она использует WinRAR, присваивает архиву уникальное имя и расширение rar1, а также генерирует для него пароль. (Таким же образом блокируют файлы хакеры Memento, объявившиеся в прошлом году.) За возврат данных операторы шифровальщика в августе просили 2 XMR ($143 по текущему курсу).

Кросс-платформенный троян GuardMiner (PDF) для добычи криптовалюты использовал вариант XMRig и тот же адрес кошелька, что указан в записке RAR1 с требованием выкупа. Вредонос также пытался распространяться на другие узлы сети с помощью модуля networkmanager.exe и эксплойтов, которые он загружал из GitHub-репозитория, используемого специалистами по пентесту.

Иностранная карта с подвохом: россиян ловят на фейковых банковских сайтах

Россияне, которые мечтают обзавестись иностранной банковской картой для оплаты зарубежных сервисов, снова оказались в центре внимания мошенников. По данным аналитиков сервиса Smart Business Alert (SBA), злоумышленники резко нарастили активность и ежедневно запускают десятки новых фишинговых ресурсов.

Как выяснили специалисты, только за последний месяц появляется до 50 новых сайтов в сутки, предлагающих быстро и без лишних хлопот оформить карту иностранного банка.

Обещания звучат заманчиво: оплата зарубежных подписок, бронирование отелей, покупка авиабилетов и доступ к иностранным сервисам. Но за красивыми словами нередко скрывается старая добрая схема по выманиванию денег и персональных данных.

Мошенники активно маскируются под легальные финансовые сервисы. На сайтах можно встретить формулировки вроде «официальное оформление», «удалённое открытие счёта» и «гарантированная работа за рубежом». Визуально такие ресурсы часто копируют дизайн банков и платёжных платформ, чтобы вызвать доверие у потенциальной жертвы.

В одних случаях злоумышленники просто собирают паспортные данные и информацию о банковских картах. В других — требуют предоплату за услугу, которая никогда не будет оказана.

Но есть и более продвинутые сценарии. Некоторые группы создают видимость полноценного бизнеса: арендуют офисы, проводят встречи с клиентами и собирают полный пакет документов для открытия счёта. Дополнительно человека могут попросить оформить доверенность на управление будущим банковским счётом.

После этого контроль над деньгами может неожиданно перейти совсем не тому человеку, который рассчитывал получить карту.

Руководитель сервиса SBA Сергей Трухачев предупреждает, что любые предложения оформить иностранную карту через неизвестных посредников или малоизвестные сайты стоит воспринимать как потенциальную угрозу.

RSS: Новости на портале Anti-Malware.ru