Новый вариант шифровальщика DJVU маскируется под крякнутый софт

Новый вариант шифровальщика DJVU маскируется под крякнутый софт

Новый вариант шифровальщика DJVU маскируется под крякнутый софт

Семейство программ-вымогателей, известное под именем DJVU, теперь распространяется под видом взломанного софта. Специалисты Cybereason назвали новые образцы вредоноса «Xaro».

В отчёте исследователи отмечают, что обнаруженный семпл добавляет пострадавшим файлам расширение .xaro. Операторы шифровальщика предлагают расшифровать файлы за выкуп.

Этот вариант DJVU отличается тем, что вместе с ним на заражённом хосте присутствует также набор вредоносных загрузчиков и похищающих данные троянов.

DJVU представляет собой одну из вариаций программы-вымогателя STOP. Как правило, DJVU проникает в системы под видом легитимных служб или приложений и часто тащит за собой пейлоад SmokeLoader.

Это, кстати, одна из важнейших составляющих атак DJVU — установка дополнительных вредоносов. Среди них нередко встречаются инфостилеры вроде RedLine и Vidar.

В недавних атаках, на которые обратили внимание эксперты Cybereason, Xaro распространялся в виде архива и размещался на сайтах, предлагающих взломанные программы.

При открытии такого архива происходил запуск бинарника, инсталлирующего в систему читалку PDF-файлов — CutePDF. На деле же это PPI-сервис (pay-per-install) PrivateLoader, ранее фигурировавший в атаках RisePro.

PrivateLoader устанавливает соединение с командным сервером (C2) и вытаскивает оттуда целый набор разных зловредов (помимо дропа самого Xaro).

 

Попав в систему, вымогатель шифрует файлы и предлагает жертве заплатить 980 долларов за ключ и дешифратор.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Microsoft окончательно заблокировала офлайн-активацию Windows через KMS38

На этой неделе Microsoft сделала ряд громких заявлений о судьбе Windows. Компания подтвердила планы превратить Windows 11 в «агентскую ОС», что вызвало бурную реакцию пользователей. Но одно изменение Редмонд не стал упоминать в официальных заметках, хотя для многих оно оказалось существенным.

Microsoft тихо заблокировала популярный нелегальный метод офлайн-активации Windows 10 и 11 под названием KMS38, который распространялся через проект MASSGRAVE.

Если коротко, MASSGRAVE (Microsoft Activation Scripts) — это набор неофициальных инструментов для активации Windows и Office. KMS38 работал за счёт обхода механизма GatherOSstate и позволял продлить KMS-активацию до января 2038 года вместо стандартных 180 дней. Дальше всё упиралось уже в техническое ограничение Y2K38.

Автор MASSGRAVE подтвердил, что метод перестал работать после ноябрьских обновлений Patch Tuesday 2025 (KB5068861 и KB5067112).

К этому шло уже давно. В сборке Windows 26040, вышедшей ещё в январе 2024 года, Microsoft убрала gatherosstate.exe из установочных образов. Из-за этого любое крупное обновление сбрасывало льготный период активации, требуя повторного подключения к KMS-серверу. А в октябре 2025 года обновление KB5067036 окончательно отключило функциональность GatherOSstate.

В итоге в новой версии скриптов MASSGRAVE 3.8 метод KMS38 полностью удалён. Пользователям предлагается переходить на HWID-активацию или способ TSforge — пока они продолжают работать.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru