Лоадер GuLoader обзавёлся функциональностью ухода от EDR-систем

Лоадер GuLoader обзавёлся функциональностью ухода от EDR-систем

Лоадер GuLoader обзавёлся функциональностью ухода от EDR-систем

Авторы вредоносной программы GuLoader добавили своему детищу ряд новых функциональных возможностей, которые теперь позволяют обходить защитные решения. Об изменении подхода к кибератакам рассказали исследователи из CrowdStrike.

«Новые техники антианализа опираются на сканирование выделенной для процессов памяти. Вредонос ищет любой след виртуальной машины», — гласит отчёт экспертов.

GuLoader, которого также называют и CloudEyE, представляет собой VBS-загрузчик. С его помощью киберпреступники распространяют трояны, открывающие удалённый доступ к заражённому устройству. Впервые зловред обнаружили в 2019 году.

В ноябре 2021-го специалисты зафиксировали атаки семейства JavaScript-вредоносов RATDispenser, в которых на компьютеры жертв сбрасывался GuLoader.

Один из последних образцов лоадера попал в руки исследователям из CrowdStrike. Как отметили эксперты, вредонос запускал трёхступенчатый процесс: VBScript доставлял пейлоад, отвечающий за проверки виртуальной среды, и только потом шелл-код внедрялся в память.

Упомянутый шелл-код со своей стороны также проводил проверки антианализа, после чего загружал финальную нагрузку.

«Зловред пытался уйти от дебаггинга на каждой стадии выполнения, выдавая ошибку в случае, если ему удавалось обнаружить попытки его анализа», — объясняют специалисты.

Одну из техник, которую использовали авторы GuLoader, эксперты называют «механизм внедрения избыточного кода». Она помогает вредоносу избегать хуков NTDLL.dll, которые встречаются в работе EDR-систем. Подробно такую технику рассматривают на видео ниже:

Подпишитесь на новости

Наталья Касперская поставила под сомнение доверие к генеративному ИИ

Генеративный ИИ умеет писать тексты и код, но можно ли на него полагаться? Наталья Касперская считает, что с доверием к таким системам пока больше вопросов, чем ответов. В интервью корреспонденту Anti-Malware.ru Олесе Афанасьевой на BIS Summit она назвала критерий доверенности применительно к генеративному ИИ загадкой.

По объяснению Касперской, доверенная система должна работать с заранее заданными параметрами и обеспечивать предсказуемый результат.

Генеративный ИИ, по её оценке, под это определение не подпадает: он не способен каждый раз выдавать один и тот же результат.

«Критерий доверенности в применении к генеративному искусственному интеллекту для меня является загадкой», — заявила она.

Главная проблема, считает Касперская, — масштаб моделей. Огромное количество параметров и данных делает полноценную проверку такой системы практически недостижимой. Можно протестировать отдельные ответы и сценарии, но это ещё не доказывает надёжность всей модели.

«Вы можете сделать какие-то выборочные проверки, частичные. Они будут выборочными и частичными, они ничего не докажут», — подчеркнула Касперская.

Получается неудобный вопрос для бизнеса и государства: как доверять системе, поведение которой нельзя исчерпывающе проверить? По словам председателя правления АРПП «Отечественный софт», задача создания доверенного ИИ поставлена, но готового способа её решения она пока не видит.

Одними разговорами, считает Касперская, проблему не закрыть. Нужна совместная работа специалистов по ИИ и информационной безопасности, методистов и разработчиков стандартов.

RSS: Новости на портале Anti-Malware.ru