Плащ летучей мыши: движок для обфускации помогает скрыть вредоносы

Плащ летучей мыши: движок для обфускации помогает скрыть вредоносы

Плащ летучей мыши: движок для обфускации помогает скрыть вредоносы

Киберпреступники добились определённых успехов с помощью движка для обфускации вредоносных программ — BatCloak. Атаки с его использованием фиксируются с сентября 2022 года и позволяют зловредам обойти защитные системы.

На эксплуатацию BatCloak обратили внимание специалисты компании Trend Micro. По их словам, движок позволяет злоумышленникам с лёгкостью загружать множество семплов вредоносов и эксплойтов в виде качественно обфусцированных пакетных файлов.

Около 79,6% от 784 изученных образцов не детектируются ни одним антивирусным движком. Такие результаты как раз наглядно демонстрируют возможности BatCloak по части обхода защитных систем.

По своей сути BatCloak является основой готового билдера пакетных файлов — Jlaive, способного обходить Antimalware Scan Interface (AMSI), а также сжимать и шифровать основной пейлоад.

В сентябре 2022 года пользователь GitHub и GitLab под ником ch2sh рекламировал этот инструмент в качестве «преобразователя EXE в BAT». Поскольку исходный код был общедоступен, ряд разработчиков доработали и перенесли его на язык Rust.

 

Конечный пейлоад обрабатывается с помощью трёх уровней: пакетного загрузчика, лоадеров C# и PowerShell. В этом случае пакетный загрузчик выступает как отправная точка для расшифровки и распаковки каждой ступени и извлечения скрытого вредоноса.

Эксперты отмечают, что BatCloak за время своего существования получил ряд важных обновлений и адаптаций. Последнюю на данный момент версию — ScrubCrypt — команда Fortinet FortiGuard Labs связывает с операцией криптоджекинга от группировки 8220.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

РСЧС предупредила москвичей об ограничениях на доступ к интернету

Единая государственная система предупреждения о чрезвычайных ситуациях (РСЧС) начала рассылать уведомления о возможных ограничениях доступа в интернет в период майских праздников.

Как указано в сообщениях, такие меры принимаются «в целях обеспечения безопасности праздничных мероприятий».

О получении такого уведомления сообщил, в частности, один из корреспондентов ТАСС.

«Возможны ограничения доступа в интернет в связи с обеспечением безопасности проходящих праздничных мероприятий», — говорится в сообщении.

Почти одновременно с рассылкой подобных оповещений произошёл массовый сбой в работе мобильных операторов и мессенджера Telegram.

Директор департамента расследований T.Hunter Игорь Бедеров в комментарии для «Газеты.Ru» заявил, что одной из целей таких ограничений является противодействие наведению дронов: «Дроны ориентируются по GPS-сигналу. В Москве и других крупных городах России, особенно в центральных районах, применяется GPS-спуфинг — подмена реального спутникового сигнала ложным, более мощным. В результате нарушается навигация, машины теряют позиционирование, такси затрудняются в поиске клиентов и т. п.

Однако геолокация определяется не только по GPS. Она также может вычисляться по сетям Wi-Fi и базовым станциям сотовой связи. Поэтому ограничение мобильного интернета и связи способно серьёзно осложнить наведение беспилотников».

Ранее ГУ МВД по Москве сообщило о введении в столице режима запрета полётов для всех видов летательных аппаратов, включая дроны. Граждан предупредили о возможной ответственности за нарушение этих ограничений.

Кроме того, отсутствие мобильной связи может осложнить или даже предотвратить попытки дистанционного подрыва взрывных устройств с использованием радиоканалов сотовой связи.

«Сигнал у нас передаётся по радиоканалу. GSM-сеть, та самая сотовая связь, — это и есть радиоканалы. Причём они самые массовые и дешёвые. Если подключить к взрывному устройству GSM-приёмник, можно передавать команды с помощью смартфона, обычного мобильника или даже пейджера. Глушение мобильной связи исключает такую возможность», — пояснил Игорь Бедеров.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru