Операторы QBot используют SVG-файлы для установки вредоноса в Windows

Операторы QBot используют SVG-файлы для установки вредоноса в Windows

Операторы QBot используют SVG-файлы для установки вредоноса в Windows

Операторы QBot придумали новый способ доставки вредоноса в системы Windows: в новой фишинговой кампании злоумышленники используют файлы в формате SVG для реализации техники HTML smuggling («контрабанда HTML»).

Атака запускается с помощью встроенных SVG-файлов, содержащих JavaScript. Этот скрипт собирает зашифрованный Base64 инсталлятор вредоноса QBot, который автоматически скачивается в систему в браузере пользователя.

Как известно, QBot может загружать другие пейлоады, включая Cobalt StrikeBrute Ratel и ряд программ-вымогателей.

HTML smuggling используется для незаметной вставки зашифрованного JavaScript-пейлоада в HTML-вложение или веб-сайт. При открытии такого документа или страницы JavaScript выполнится на компьютере пользователя.

Эта техника позволяет киберпреступникам обходить защитные системы и файрволы, которые сканируют системы и выявляют вредоносные программы.

О новом подходе операторов QBot рассказали эксперты Cisco Talos. Атаки начинаются с того, что злоумышленники вклиниваются в цепочку электронных писем и просят получателя открыть вложенный HTML-файл.

Как уже отмечалось выше, злоумышленники прячут вредоносную нагрузку в графическом файле SVG.

 

Поскольку векторная графика SVG основана на XML (в отличие от JPG и PNG), она допускает встраивание HTML-тегов <script>. Исследователи из Cisco изучили встроенный JavaScript и нашли функцию, конвертирующую переменную «text» в блоб. А далее в дело вступает другая функция, которая конвертирует блоб в ZIP-архив.

 

Чтобы защититься от подобных атак, рекомендуется заблокировать выполнение JavaScript или VBScript для загружаемого из Сети контента.

В Москве продолжаются проблемы с мобильной связью в отдельных районах

В выходные проблемы с мобильной связью и интернетом в Москве, начавшиеся 5 марта, сохранялись. При этом зона ограничений сместилась в центральную часть города. Кроме того, сбои затронули сеть Wi-Fi в городском транспорте.

Ранее, 5 марта, ограничения были введены в отдельных районах Южного округа столицы. Тогда связь отсутствовала полностью: не работал не только мобильный интернет, как это обычно бывает, но и голосовая связь. Операторы объяснили происходящее «мерами безопасности».

На следующий день, как сообщил портал «Код Дурова», ограничения сместились в центральную часть Москвы. Они вводятся точечно и затрагивают отдельные участки в пределах нескольких улиц или кварталов, не распространяясь на весь район.

Ограничения также повлияли на работу сети Wi-Fi в общественном транспорте Москвы на некоторых маршрутах и линиях метро. Такая ситуация сохранялась все длинные выходные и продолжается до сих пор.

По данным портала, операторы начали уведомлять абонентов только вечером 6 марта. При этом характер ограничений менялся. 7 марта и позже они затрагивали уже только мобильный интернет, тогда как возможность совершать голосовые звонки и отправлять СМС-сообщения вернулась. При этом мобильный интернет по-прежнему оставался недоступным, а также не работали многие сервисы из «белого списка».

В официальном комментарии пресс-служба Роскомнадзора переадресовала запрос в Минцифры.

RSS: Новости на портале Anti-Malware.ru