Трояны Bumblebee и IcedID закорешились с JavaScript-курьером PindOS

Трояны Bumblebee и IcedID закорешились с JavaScript-курьером PindOS

Трояны Bumblebee и IcedID закорешились с JavaScript-курьером PindOS

Исследователи из Deep Instinct обнаружили неизвестного ранее JavaScript-дроппера. В настоящее время новобранец, которому было присвоено имя PindOS (по строке User-Agent) используется для доставки троянов Bumblebee и IcedID.

Вредоносный загрузчик Bumblebee ранее полагался на скрипты PowerShell, помогавшие извлечь и запустить целевую DLL; переход на JavaScript может означать существенное изменение устоявшихся техник и тактик. Троян IcedID долгое время работал банкером, но недавно перепрофилировался и теперь тоже служит проводником для других зловредов.

Их новый партнер PindOS после деобфускации оказался весьма примитивным лоадером. Его единственная функция exec принимает четыре параметра:

  • UserAgent — строка, используемая при загрузке целевой DLL;
  • URL1 — основной адрес для загрузки;
  • URL2 — резервный адрес для загрузки;
  • RunDLL — экспортируемая функция DLL, подлежащая вызову.

Загруженный пейлоад сохраняется в папке шаблонов пользователей Windows как файл .dat с произвольным именем (шестизначное число). Его запуск осуществляется с помощью rundll32.exe.

Примечательно, что получаемая полезная нагрузка генерируется по запросу и псевдослучайным образом, то есть каждый раз создается новый хеш. Подобная уловка обычно используется для обхода сигнатурных средств защиты, однако в случае с Bumblebee этот трюк, по словам экспертов, не дает искомого эффекта.

В Windows нашли способ получать Insider-сборки без аккаунта Microsoft

Пока Microsoft всё сильнее привязывает пользователей Windows к своей экосистеме, энтузиасты продолжают искать обходные пути. На этот раз обновление получил инструмент OfflineInsiderEnroll, который позволяет устанавливать предварительные сборки Windows без входа в учётную запись Microsoft.

Обычно для участия в программе Windows Insider требуется зарегистрироваться через аккаунт Microsoft и официально подключить устройство к одному из тестовых каналов. Но OfflineInsiderEnroll предлагает альтернативный сценарий.

Утилита представляет собой небольшой скрипт, который настраивает необходимые параметры локально через системный реестр. После этого компьютер получает доступ к тестовым версиям Windows через обычный механизм Windows Update, как будто устройство официально участвует в программе предварительного тестирования.

В основе схемы лежит параметр реестра TestFlags. Если установить для него значение 0x20, Windows перестаёт обращаться к онлайн-сервисам регистрации Insider Program.

Благодаря этому локальные настройки больше не перезаписываются серверами Microsoft, а выбранный канал тестирования сохраняется на устройстве.

 

Проще говоря, система начинает верить настройкам, которые ей подсовывает сам скрипт.

Ранее OfflineInsiderEnroll уже поддерживал классические каналы Dev, Beta и Release Preview. Теперь разработчики обновили утилиту до версии 2.6.6 и добавили поддержку новой структуры каналов Windows Insider, которую Microsoft недавно начала внедрять.

Помимо Beta и Release Preview пользователи получили доступ к новым экспериментальным каналам тестирования. Также в комплекте остались инструменты для очистки кеша Insider, сброса настроек и полного отключения участия в программе.

Впрочем, запускать скрипт придётся с правами администратора.

RSS: Новости на портале Anti-Malware.ru