Троян DcRAT использует фейковый контент OnlyFans для распространения

Троян DcRAT использует фейковый контент OnlyFans для распространения

Троян DcRAT использует фейковый контент OnlyFans для распространения

В новой кампании киберпреступников используется фейковый контент OnlyFans и приманки, рассчитанные на взрослых. На деле же пользователи получают в систему троян DcRAT, открывающий удалённый доступ к компьютеру.

DcRAT может красть и передавать операторам данные с устройства жертв. Но даже более опасная его фича заключается в возможности устанавливать дополнительную программу-вымогатель.

На кампанию обратили внимание специалисты eSentire. По их словам, злоумышленники действуют в таком ключе с января 2023 года. Атакующие рассылают ZIP-архивы, в которых содержится загрузчик в формате VBScript.

Задача — обманом заставить жертву запустить лоадер. Для этого пользователю обещают доступ к платному контенту OnlyFans. Пока неясно, как именно распространяется вредонос, но специалисты полагают, что ссылки на него могут постить на форумах или присылать в мессенджерах. Злоумышленники также могут использовать «чёрную SEO-оптимизацию», чтобы продвинуть злонамеренные сайты на первые позиции поисковой выдачи.

Один из семплов, который приводят исследователи из Eclypsium, замаскирован под фотографии, на которых в обнажённом виде изображена американская порноактриса Миа Халифа.

VBScript-лоадер является минимальной модифицированной и обфусцированной версией скрипта, который засветился в кампании 2021 года. Тогда на него указала команда Splunk. В сущности, это слегка изменённый скрипт печати Windows.

При запуске вредонос проверяет архитектуру операционной системы с помощью WMI. После этого извлекается встроенная DLL (dynwrapx.dll) и регистрируется через команду Regsvr32.exe. Такой подход открывает зловреду доступ к инструменту DynamicWrapperX, позволяющему осуществлять функции вызовов из API Windows или других DLL-файлов.

Пейоад с именем BinaryData загружается в память и внедряется в процесс RegAsm.exe, легитимную часть .NET Framework. В этом случае шанс на детектирование вредоноса антивирусами резко падает.

Конечный троян DcRAT представляет собой модифицированную версию AsyncRAT, доступного любому желающему на GitHub.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Яндекс Браузер получил новые функции для защиты мобильных устройств

В корпоративной версии мобильного Яндекс Браузера появились новые инструменты, усиливающие защиту рабочих устройств и данных. Обновление делает браузер полноценной альтернативой системам Mobile Application Management (MAM) — особенно там, где сотрудники работают преимущественно через веб-приложения.

Среди новых функций — обнаружение взлома устройства, проверка его безопасности, защита от обхода корпоративных политик, защищённое хранилище и защита паролем.

Теперь ИБ-специалисты смогут узнать, если пользователь установил альтернативную прошивку или использует уязвимое устройство. Проверка безопасности определяет, соответствует ли смартфон требованиям компании — например, защищён ли он антивирусом или не подвергался ли взлому. При нарушении политики доступ к корпоративным данным можно автоматически ограничить.

Кроме того, администраторы могут сделать так, чтобы доступ к внутренним системам был возможен только через Яндекс Браузер для организаций. Это помогает снизить риски утечки информации при работе с конфиденциальными данными.

Функция защищённого хранилища ограничивает устройства, на которых можно открывать корпоративные файлы, а пароль на запуск браузера не позволит посторонним увидеть рабочие материалы, если устройство потеряно или оставлено без присмотра.

По словам директора по информационной безопасности Яндекс Браузера для организаций Дмитрия Мажарцева, сегодня браузер всё чаще становится основной точкой доступа к корпоративным сервисам — почте, календарям, мессенджерам и внутренним ИТ-системам. Поэтому защищённый браузер может заменить традиционные MAM-решения без потери уровня безопасности и без необходимости устанавливать дополнительное программное обеспечение.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru