Самораспаковывающиеся WinRAR-архивы незаметно запускают PowerShell в атаках

Самораспаковывающиеся WinRAR-архивы незаметно запускают PowerShell в атаках

Самораспаковывающиеся WinRAR-архивы незаметно запускают PowerShell в атаках

Киберпреступники начали добавлять вредоносную функциональность к самораспаковывающимся архивам WinRAR. Как правило, такие архивы содержат безобидные файлы, выступающие в качестве приманки, что позволяет атакующим обойти защитные системы.

Самораспаковывающиеся архивы (SFX), создаваемые с помощью софта вроде WinRAR или 7-Zip, в целом представляют собой исполняемые файлы. Они содержат архивированные данные вместе со встроенным кодом для их распаковки.

Чтобы предотвратить несанкционированный доступ к таким файлам, их можно защитить паролем. Основное назначение SFX-файлов — упростить передачу архивированных данных тем пользователям, у которых нет утилиты для декомпрессии.

В ходе расследования одного из недавних инцидентов специалисты компании CrowdStrike наткнулись на использование самораспаковывающихся архивов в киберпреступных целях. Анализ показал, что за атакой стояла группировка, задействовавшая скомпрометированные учётные данные для использования utilman.exe в злонамеренных целях.

Utilman — это приложение, которое можно запустить до того, как пользователь вошёл в систему. Зачастую злоумышленники используют его для обхода аутентификации в ОС. В описанном CrowdStrike случае утилита применялась для запуска запароленного SFX-файла, предварительно помещённого в систему жертвы.

В защищённом паролем архиве содержался тестовый файл, выступающий в качестве приманки. Настоящая же задача этого SFX заключалась в использовании настроек WinRAR для запуска PowerShell, командной строки Windows (cmd.exe) и Диспетчера задач с правами ОС.

Как только жертва распаковывала текстовый файл, запускался целый ряд команд. Тем не менее классической вредоносной программы в архиве не было. Киберпреступники добавили несколько команд, открывающих бэкдор в системе.

 

Всё дело в том, что возможности WinRAR позволяют установить особые настройки SFX и добавить список исполняемых файлов, которые будут запускаться до и после процесса. Специалисты Crowdstrike считают, что такой подход к атакам позволит обойти среднестатистические антивирусы.

ИИ нашёл борщевик и выписал владельцу участка штраф на 150 тысяч рублей

Борщевик Сосновского в Подмосковье вышел на новый уровень цифровой известности. Владельца частного участка впервые оштрафовали по результатам мониторинга с помощью беспилотника и искусственного интеллекта, сообщило областное Министерство сельского хозяйства и продовольствия.

Нарушение обнаружили в Рузском муниципальном округе. Дрон провёл съёмку территории, а система на основе ИИ проанализировала данные и распознала опасное растение.

После этого она сформировала постановление и отправила уведомление владельцу через Госуслуги. Получателем цифрового привета стало юридическое лицо, которому назначили штраф в размере 150 тыс. рублей.

До сих пор заросли борщевика на частных землях нередко оставались проблемой из категории это не наше поле. Между тем около 70% жалоб жителей региона на опасное растение относятся именно к таким участкам. Теперь спрятать ботанический беспорядок за высоким забором будет сложнее: беспилотнику всё равно, а ИИ не боится обжечься.

Пилотный проект позволяет не только находить заросли, но и устанавливать собственников земли, после чего запускать процедуру привлечения к ответственности. Опыт Рузского округа власти рассматривают как основу для внедрения цифрового мониторинга в других муниципалитетах Подмосковья.

Параллельно регион продолжает уничтожать борщевик на муниципальных территориях. Первый этап обработки завершили на площади около 23,5 тыс. га, во время второго повторно обработали более 18,3 тыс. га. Полностью закончить работы планируется до конца августа.

RSS: Новости на портале Anti-Malware.ru