Трояну Emotet добавили модуль самораспространения через SMB

Трояну Emotet добавили модуль самораспространения через SMB

Трояну Emotet добавили модуль самораспространения через SMB

В ходе анализа новых образцов Emotet эксперты BlackBerry обнаружили модуль, позволяющий Windows-зловреду самостоятельно распространяться по сети подбором ключей к общим ресурсам, доступным по протоколу SMB. Выявлена также возможность скрытной загрузки ранее использовавшихся модулей посредством инъекции в 64-битный процесс, известной как Heaven’s Gate.

Новые спам-рассылки с ботнета Emotet, позволившие заполучить свежие семплы, как и в ноябре, используют вложения в формате XLS. Вредоносный документ содержит инструкции для получателя, выполнение которых помогает злоумышленникам обойти защиту MOTW.

Согласно блог-записи BlackBerry, модуль SMB spreader, предназначенный для дальнейшего распространения Emotet по сети, вначале обеспечивает себе ИБ-привилегии текущего пользователя. Для этого он дублирует соответствующий токен, используя SecurityImpersonationLevel, а затем вызывает функцию ImpersonateLoggedOnUse, чтобы получить возможность выполнять действия в ИБ-контексте подключенного аккаунта.

Заручившись полномочиями, вредонос начинает перечислять сетевые ресурсы с помощью API WnetOpenEnumW и WnetEnumResourceW, составляя список потенциальных удаленных серверов. Затем, используя вшитые в код ходовые логины и пароли, он перебирает собранные имена серверов и при этом пытается получить доступ к общему ресурсу IPC$ через API WNetAddConnection2W.

Если это не удается, SMB spreader ищет дополнительные юзернеймы на взломанном сервере, используя API NetUserEnum. Находки комбинируются с вшитыми паролями и пускаются в ход, чтобы получить желанный доступ к IPC$.

В случае удачного брутфорса SMB-модуль трояна подключается к ресурсу ADMIN$ или C$ и копирует туда загрузчик Emotet, запуская его как сервис. Для исполнения используется regsvr32.exe.

Кроме SMB spreader, исследователи обнаружили еще один недавно добавленный модуль — для кражи данных кредитных карт из Google Chrome. Находки также подтвердили переориентацию трояна на 64-битные Windows.

Загрузка некоторых прежних модулей Emotet (32-битных) теперь осуществляется путем инъекции в 64-битные процессы по методу Heaven’s Gate. Данная техника основана на использовании WoW64 API, позволяет обойти защиту и хорошо известна. Загрузчик трояна при этом работает в подобии песочницы и внедряет вредоносный код в процесс, используя process hollowing.

В рамках выявленной спам-кампании Emotet дополнительно загружал банковского трояна IcedID, он же BokBot, либо даунлоадер Bumblebee.

Из App Store пропали Дзен, VK Video и другие приложения VK

Из российского App Store пропала часть приложений холдинга VK. Как сообщает РБК, сейчас пользователи не могут скачать «Дзен», VK Video, VK Мессенджер, VK Музыку и VK Знакомства. При этом основные социальные сети компании пока остаются доступны.

Приложения «ВКонтакте» и «Одноклассники» по-прежнему можно найти и установить через App Store.

Что стало причиной исчезновения сервисов, пока неизвестно. На момент публикации ни Apple, ни VK официальных комментариев не дали.

Пока также неясно, идет ли речь о временном сбое, технических работах, удалении приложений из российского App Store или о каких-либо других причинах.

Для пользователей, у которых приложения уже установлены на iPhone, ситуация пока не означает автоматическое прекращение их работы. Однако скачать удалённые приложения заново или установить их на новое устройство сейчас невозможно.

Это уже не первый случай, когда приложения российских компаний исчезают из App Store. Ранее Apple неоднократно удаляла из российского каталога банковские приложения, VPN-клиенты и другие сервисы, после чего часть из них возвращалась под новыми названиями или в изменённом виде.

Остаётся ждать официальных разъяснений от Apple или VK, которые должны прояснить, что именно произошло с приложениями.

Update:

Пресс-служба VK предоставила официальный комментарий:

«VK никогда не находилась под санкциями и не фигурировала в санкционных списках, что подтверждают многочисленные заключения международных и американских юристов. Официальные заключения юристов и вся необходимая информация давно находится в распоряжении Apple. 

Тем не менее, Apple без предупреждений в одностороннем порядке удалила приложения VK. Своими действиями Apple ограничивает российских пользователей в доступе к востребованным сервисам, которыми ежедневно пользуются десятки миллионов: соцсетям, мессенджерам, видеоплатформам, электронной почте и образовательным продуктам. Действия Apple приведут к тому, что пользователи не будут получать пуш-уведомления о сообщениях и важных событиях. Считаем данные действия Apple по отношению к российским пользователям ничем не мотивированными и неприемлемыми.

VK продолжает работать в интересах пользователей и предпринимает все необходимые действия для обеспечения комфортного и безопасного доступа к продуктам и сервисам. Все приложения VK, которые были ранее установлены на смартфонах и устройствах Apple, продолжат работать. 

Приложения VK для пользователей Android доступны в полном объеме, включая обновления, уведомления и другие функции, — в RuStore, Google Play, Huawei AppGallery, Samsung Store, Xiaomi Store и на официальных сайтах продуктов».

RSS: Новости на портале Anti-Malware.ru