Новый троян в npm устанавливает в систему AnyDesk для удалённого доступа

Новый троян в npm устанавливает в систему AnyDesk для удалённого доступа

Новый троян в npm устанавливает в систему AnyDesk для удалённого доступа

В репозиторий npm проник пакет с очередным вредоносом внутри. На этот раз им оказался сложный троян, открывающий удалённый доступ на компьютерах жертв под управлением Windows.

Пакет под именем «oscompatible» загрузили в репозиторий 9 января 2024 года. Прежде чем его удалили, 380 пользователей успели загрузить зловред.

По словам специалистов Phylum, в oscompatible можно было найти несколько странных бинарников: исполняемый файл, DLL и зашифрованный файл в формате DAT вместе с JavaScript.

Последний (index.js) запускает пакетный скрипт autorun.bat, но только после всех необходимых проверок, помогающих вредоносной программе убедиться в том, что она работает в системе Windows.

Если это не «окна», троян завершает работу с ошибкой. В другом случае скрипт запускает легитимный компонент Microsoft Edge — cookie_exporter.exe.

Далее в дело вступает библиотека msedge.dll и используется техника подмены DLL. Кстати, мы недавно писали про новый способ подмены библиотеки, обходящий защиту в Windows 10 и 11.

Троянизированная версия библиотеки расшифровывает msedge.dat и запускает msedgedat.dll, а последний файл устанавливает соединение с доменом kdark1[.]com, находящимся под контролем злоумышленников. С этого домена вредонос получает ZIP-архив, в котором лежит AnyDesk — софт для удалённого подключения к компьютеру.

Помимо этого, троян устанавливает расширение для браузера Google Chrome, а также фиксирует действия мыши и клавиатуры.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Microsoft заблокировала учётку OneDrive — человек потерял фото за 30 лет

Если вы храните все свои фото, документы и воспоминания в облаке OneDrive — настало время подумать о плане «Б». Один из пользователей Reddit рассказал, как его учётную запись заблокировали без объяснения причин. И вместе с ней — ушли в небытие почти 30 лет данных, включая личные фотографии и важные файлы.

Пользователь @Deus03690 просто переносил данные со старого жёсткого диска в OneDrive, предварительно очистив исходник.

Всё шло по плану — до тех пор, пока внезапно не исчез доступ к учётке. Ни предупреждений, ни сообщений. Microsoft просто заблокировала аккаунт. В итоге — никаких файлов, никаких фото, ничего.

Пострадавший заполнил 18 форм по вопросам соответствия политике, надеясь восстановить доступ. Но в ответ — только автоответчики и шаблонные письма. Никакой реальной поддержки.

Почему это произошло?

Официальных объяснений от Microsoft нет. Однако есть догадки: возможно, компания заподозрила подозрительную активность — например, слишком большой объём данных, быстро загруженных и скачанных за короткое время. Или алгоритмы что-то приняли за нарушение. Но всё это лишь предположения.

Важно: аккаунты OneDrive действительно могут удаляться после 365 дней бездействия, но здесь явно был не тот случай — пользователь был активен.

Что теперь?

Человек всерьёз рассматривает судебный иск, чтобы вернуть доступ к данным. Но такой подход может занять месяцы, а Microsoft вряд ли сохранит файлы до его завершения.

Вывод простой: облако — не панацея

Это громкий звоночек всем, кто считает OneDrive (или любой другой облачный сервис) надёжным хранилищем «на века». Облако удобно, да. Но вот гарантий — никаких. Один неверный флажок в системе — и вы без данных.

Что делать? Как минимум — синхронизировать OneDrive с локальной папкой или внешним накопителем. Ещё лучше — использовать две разные точки резервного копирования. Потому что главное правило цифровой жизни: если у файла нет двух копий — у него нет ни одной.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru