Кто-то бэкдорит индустриальный и госсектор России с целью кражи данных

Кто-то бэкдорит индустриальный и госсектор России с целью кражи данных

Кто-то бэкдорит индустриальный и госсектор России с целью кражи данных

В «Лаборатории Касперского» проанализировали летние атаки на государственные и индустриальные организации РФ, а также образцы Windows-троянов, с помощью которых злоумышленники воровали данные.

Имейл-рассылки, нацеленные на внедрение бэкдоров, были зафиксированы в начале июня. К середине августа авторы атак обновили основной вариант зловреда, расширив набор функций для кражи данных.

Распространяемые вредоносные вложения (finansovyy_kontrol_2023_180529.rar и detali_dogovora_no_2023_000849.rar) представляли собой ARJ-архив, содержащий исполняемый файл Nullsoft с полезной нагрузкой — маскировочным PDF-документом и скриптом NSIS.

Последний при запуске открывает документ-приманку и вызывает функцию get плагина INetC установщика Nullsoft, которая пытается загрузить в систему вредоносный файл с внешнего ресурса. В случае успеха зловред копируется в папку C:\ProgramData\Microsoft\DeviceSync\ под именем UsrRunVGA.exe, а затем запускается на исполнение со скрытым окном. Чтобы обеспечить ему автозапуск, в системе создается новый ярлык (файл .lnk).

Кроме UsrRunVGA, в рамках данной вредоносной рассылки распространялись еще два бэкдора — Netrunner и Dmcserv, с другим C2-сервером.

 

Согласно результатам анализа, вредонос UsrRunVGA написан на Go; строки кода зашифрованы простым XOR. После запуска троян проверяет доступ в интернет, подключаясь к сайтам зарубежных СМИ (отправляет HTTP-запросы GET до тех пор, пока все они не вернут код состояния 200 — «ОК»).

При этом используется следующий User-Agent:

Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36 Edg/91.0.864.5.

После получения нужных ответов зловред обращается к C2-серверу по HTTPS, вновь ожидая в ответ код 200. Установив соединение, UsrRunVGA проводит ряд проверок на наличие виртуальной среды или песочниц; при обнаружении таких препятствий дальнейшее исполнение прекращается.

Основные функции бэкдора обеспечивают сбор и отправку на C2-сервер информации о зараженной машине (модель и производитель системного диска), а также выполнение команд list (перечислить файлы и папки в указанной директории) или file (передать файл на C2).

Выявлены дополнительные модули UsrRunVGA, выполняемые в отдельных потоках; они придаются зловреду для выполнения следующих задач.

  • получение содержимого буфера обмена;
  • снятие снимков экрана;
  • отправка файлов с указанными расширениями (из папок пользователей) на C2.

Данные, которые бэкдор отправляет на свой сервер, шифруются по AES256-GCM (ключ вшит в код вредоноса).

Обнаруженную в августе новую версию UsrRunVGA отличают отсутствие проверки интернет-доступа, расширенный набор проверок рабочей среды и дополнительный инструмент для кражи паролей из браузеров (список на три десятка позиций, в том числе Яндекс Браузер).

Изменился метод запроса, используемого для передачи системной информации на C2-сервер: теперь это HTTP POST. Содержимое подаваемых команд list / file и параметров стало шифроваться по RSA (ключ для расшифровки вшит в код зловреда).

Авторы UsrRunVGA также заменили AES-ключ, который используется для шифрования данных, отправляемых на командный сервер. Цепочка заражения и вредоносный скрипт-загрузчик остались без изменений.

Google упростила удаление личных данных и интимных фото из поиска

В интернете всегда найдётся кто-то, кто хочет узнать о вас больше, чем следовало бы. К счастью, у Google есть инструменты, которые помогают убрать лишнее из поисковой выдачи. Компания обновила сервис Results About You, который ищет и помогает удалить из выдачи страницы с вашими персональными данными.

Теперь инструмент умеет находить не только адреса и телефоны, но и номера документов, включая паспорт, водительские права и даже номер социального страхования (для США).

Чтобы система знала, что искать, пользователю нужно заранее добавить часть этих данных в настройках. Для водительских прав требуется полный номер, а для паспорта или SSN — только последние четыре цифры. После этого Google будет периодически сканировать выдачу и присылать уведомления, если найдёт совпадения.

Важно понимать: контент не исчезает из Сети полностью, но перестаёт отображаться в поиске Google, что для большинства пользователей уже существенно снижает риски.

Обновление коснулось и инструмента для удаления интимных изображений, опубликованных без согласия человека. Речь идёт как о реальных фото, так и о дипфейках и других сгенерированных ИИ материалах.

Теперь пожаловаться на такие изображения стало проще: достаточно нажать на три точки рядом с картинкой в поиске, выбрать «Удалить результат» и указать, что это интимное изображение. Google уточнит, настоящее это фото или дипфейк, а затем запустит проверку.

Кроме того, теперь можно добавлять сразу несколько изображений в одну заявку, что особенно актуально в эпоху, когда генеративный ИИ позволяют создавать подобный контент буквально за минуты.

Google также добавила возможность мониторинга: если функция включена, система будет автоматически отслеживать появление новых подобных изображений и предупреждать пользователя.

Поиск по ID уже доступен в Results About You. Обновлённый инструмент для удаления интимного контента начнёт появляться в ближайшие дни и будет постепенно распространяться на разные страны.

RSS: Новости на портале Anti-Malware.ru