Шифровальщик BlackCat раздается под видом WinSCP через вредоносную рекламу

Шифровальщик BlackCat раздается под видом WinSCP через вредоносную рекламу

Шифровальщик BlackCat раздается под видом WinSCP через вредоносную рекламу

Операторы BlackCat/ALPHV начали использовать malvertising для распространения шифровальщика через клоны сайтов легитимных организаций. Эксперты Trend Micro выявили киберкампанию, в ходе которой зловреда выдавали за файловый менеджер WinSCP.

Выбранное в качестве приманки opensource-приложение WinSCP позволяет безопасно переносить файлы и папки между локальным компьютером и серверами, поддерживающими протоколы SFTP, SCP, FTP, FTPS, Amazon S3 и WebDAV. Утилита распространяется по лицензии GNU GPL и пользуется большой популярностью.

Вредоносная реклама, по словам исследователей, — новый вектор заражения для BlackCat. Поддельные страницы загрузки WinSCP (с редиректом на клон оригинала в похожем домене) выдают в результатах поиска и Google, и Bing.

 

Файл ISO, распространяемый в ходе malvertising-кампании, содержит setup.exe и msi.dll. Первый — это переименованный msiexec.exe (часть установщика Windows), второй — работающая как дроппер библиотека, подключаемая методом отложенной загрузки.

В ходе исполнения setup.exe происходит вызов msi.dll, та извлекает из раздела RCDATA папку Python в качестве инсталлятора WinSCP и создает две его версии — легальную и вредоносную (в папке «Музыка»), обеспечив зловреду постоянное присутствие в системе.

Анализ показал, что в качестве основной полезной нагрузки используется маячок Cobalt Strike, который подключается к удаленному серверу и обеспечивает атакующим удаленный доступ к скомпрометированной системе. Для проведения разведки и развития успеха взломщики также используют ряд других инструментов: AdFind, AccessChk64, PowerView, PsExec, BitsAdmin, KillAV, AnyDesk. Вывод собранной информации осуществляется с помощью клиента PuTTY Secure Copy (PSCP), устранение помех в виде антивирусов и EDR — с помощью Terminator, недавно появившегося на черном рынке. Конечной целью всей этой вредоносной активности является внедрение в сеть вымогательской программы.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

CICADA8 запустила платформу VM для управления уязвимостями в сети

CICADA8 объявила о запуске CICADA8 VM — платформы для управления уязвимостями внутри корпоративной сети. По словам компании, решение ориентировано на крупные организации с филиальной сетью и призвано помочь с автоматическим контролем уязвимостей во внутреннем периметре.

Пара конкретных цифр, которые приводят разработчики: развёртывание в продуктивной среде занимает около 12 минут, сканирование подсети /24 — от 9 минут.

Платформа, по их данным, выдерживает одновременную проверку до 40 тысяч хостов и поддерживает мультитенантность, что должно облегчать масштабирование и снижать нагрузку на сеть заказчика.

CICADA8 VM предлагает гибкие настройки рабочего процесса: можно выстраивать собственные этапы и логику обработки уязвимостей, распределять роли в команде и тонко настраивать схемы сканирования под конкретные задачи бизнеса. Это даёт администраторам возможность адаптировать процесс под внутренние политики и риски.

Платформа интегрируется с CICADA8 ETM и формирует единую экосистему для управления внешними и внутренними рисками. Из единого интерфейса, как утверждают в компании, доступны инструменты для мониторинга уязвимостей, поиска фишинговых сайтов с упоминанием бренда, обнаружения утечек исходного кода и корпоративных данных, а также отслеживания упоминаний об инцидентах в СМИ, соцсетях и даркнете.

Руководитель продуктового портфеля CICADA8 Кирилл Селезнев отмечает, что в будущем в платформу планируют внедрять инструменты на базе искусственного интеллекта для улучшения верификации и приоритизации уязвимостей. По его словам, это должно помочь сократить объём ручной работы и повысить точность оценки рисков.

В сухом остатке — на рынке появилась ещё одна платформа для управления уязвимостями, рассчитанная на большие и распределённые инфраструктуры; насколько она пригодна в реальных условиях, покажут внедрения и независимые тесты.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru