VMware фиксирует рост количества атак BatLoader по своей клиентской базе

VMware фиксирует рост количества атак BatLoader по своей клиентской базе

VMware фиксирует рост количества атак BatLoader по своей клиентской базе

У клиентуры VMware участились случаи заражения BatLoader — зловредом, позволяющим закрепиться на Windows-машине. Вредоносный загрузчик примечателен тем, что различает корпоративные и домашние сети и в зависимости от окружения доставляет жертве троянов (банкеров, инфостилеров) либо инструменты для развития атаки — вроде Cobalt Strike.

Вредонос BatLoader раздается под видом легитимных программ через drive-by-загрузки; для вывода своих сайтов в топ поисковой выдачи злоумышленники используют черный SEO. О подобных malvertising-кампаниях стало известно еще в начале года — из февральской публикации Mandiant.

В VMware наблюдают новую угрозу с июля и с тех пор зафиксировали 42 случая успешного заражения. Атакам подвергаются представители разных вертикалей, чаще прочих — коммерсанты, финансисты и промышленники.

 

Исследование показало, что авторы malvertising-атак обычно выдают BatLoader за популярное приложение — LogMeIn, Zoom, AnyDesk, TeamViewer. Вредонос отдается с взломанных сайтов в виде подписанного MSI-файла или ZIP-архива; содержимым MSI независимо от имени является инструментарий для создания документов novaPDF.

Заражение осуществляется поэтапно, с использованием PowerShell, Msiexec.exe, Mshta.exe и других легитимных инструментов, поэтому атаку трудно обнаружить и пресечь. Повысить привилегии скриптов помогает утилита nircmd.exe; для расшифровки полезной нагрузки на машину загружается Gpg4win, для ее запуска — NSudo. Зловред также пытается препятствовать обнаружению и возможным ответным мерам: добавляет исключения Microsoft Defender, отключает уведомления, Диспетчер задач, командную строку, редактор реестра.

Полезная нагрузка, доставляемая BatLoader, зависит от профиля зараженной системы: на домашние компьютеры обычно загружаются трояны Ursnif и Vidar, на корпоративные компьютеры — дополнительно Cobalt Strike, а также инструмент мониторинга и контроля ИТ-инфраструктуры производства Servably (Syncro или Atera).

Инструмент управления Atera, по словам экспертов, также ранее использовали вымогатели Conti. Примечательно, что один из их IP-адресов тоже засветился в атаках BatLoader — тот, с которого загружались эксплойты для Log4j. Замечено также некоторое сходство с кампаниями Zloader: использование черной оптимизации, инсталлятора Windows, а также PowerShell, batch и других машинных кодов ОС для построения цепочки заражения.

Microsoft опровергла слухи о переписывании Windows 11 на Rust с ИИ

Microsoft пришлось срочно успокаивать интернет: Windows 11 никто не собирается переписывать на Rust с помощью ИИ — по крайней мере, в обозримом будущем. Поводом для волнений стал пост в LinkedIn от Галена Ханта, одного из ведущих инженеров Microsoft.

В изначальной версии он написал, что его цель — «устранить каждую строчку C и C++ в Microsoft к 2030 году», а сделать это планируется с помощью сочетания ИИ и алгоритмов. В качестве ориентира он обозначил почти фантастическую формулу: «один инженер, один месяц, один миллион строк кода».

Учитывая, что Windows на уровне API и ядра во многом написана на C, а многие компоненты — на C++, заявление выглядело как намёк на масштабную перестройку всей платформы. Тем более что в посте активно использовалось слово «our», что многие восприняли как позицию компании, а не личную инициативу исследовательской команды.

Реакция не заставила себя ждать — от восторга до откровенного шока. В итоге Microsoft пришлось официально вмешаться. В комментарии для Windows Latest компания заявила, что не планирует переписывать Windows 11 с использованием ИИ или переводить её на Rust. Это же подтвердил Фрэнк Шоу, руководитель коммуникаций Microsoft.

Сам Хант тоже отредактировал свой пост и отдельно пояснил, что его слова поняли слишком широко. Как отметил разработчик, речь идёт не о Windows и не о смене стратегии компании, а о исследовательском проекте. Команда Ханта разрабатывает технологии, которые в теории упростят миграцию крупных кодовых баз с одного языка на другой. Rust при этом не является «конечной точкой», а лишь одним из возможных направлений.

При этом формула «1 инженер, 1 месяц, 1 миллион строк кода» в обновлённой версии поста всё же осталась. Именно она, как и жёсткая формулировка про «устранение C и C++ к 2030 году», и создала ощущение, что речь идёт о чём-то гораздо большем, чем просто исследование.

В итоге ситуация получилась показательной: одно слишком смелое заявление от человека с громкой должностью — и интернет уже переписывает Windows 11 в голове. А Microsoft снова напоминает, что между исследовательским экспериментом и реальными продуктами дистанция всё-таки огромная.

RSS: Новости на портале Anti-Malware.ru