Операторы DarkGate начали использовать уязвимость Windows SmartScreen

Операторы DarkGate начали использовать уязвимость Windows SmartScreen

Операторы DarkGate начали использовать уязвимость Windows SmartScreen

В новой волне атак операторов вредоносной программ DarkGate фигурирует уязвимость в Windows Defender SmartScreen, с помощью которой злоумышленники обходят защитные функции ОС и устанавливают фейковый софт.

Речь идёт о бреши под идентификатором CVE-2024-21412, которую Microsoft устранила с выходом февральского набора патчей. До этого она получила статус 0-day, именно её эксплуатировал троян DarkMe.

SmartScreen — защитный механизм в Windows, предупреждающий пользователя при попытках открыть подозрительный файл, скачанный из Сети. CVE-2024-21412 помогает использовать специально подготовленные файлы для обхода алертов.

Для эксплуатации используются интернет-ярлыки (.url-файлы), указывающие на другие ярлыки, которые хранятся на удалённой SMB-шаре. Такой метод приводит к тому, что конечный файл запустится автоматически в целевой системе.

Как сообщают специалисты Trend Micro, DarkGate тоже взял на вооружение эксплойт для CVE-2024-21412. Операторы трояна начинают атаку с вредоносного письма с PDF-вложением. Для обхода защитных механизмов используется открытый редирект с помощью Google DoubleClick Digital Marketing (DDM).

Когда жертва нажимает на ссылку, её перенаправляют на скомпрометированный сервер, где хранится файл-ярлык. Последний ссылается на другой аналогичный файл на подконтрольном злоумышленникам WebDAV-сервере.

 

Открытие второго ярлыка через Windows Shortcut позволяет использовать CVE-2024-21412 для автоматического запуска вредоносного MSI-файла. Такие файлы маскируются под софт от NVIDIA, Notion и под Apple iTunes.

 

Далее эксплуатируется брешь сторонней загрузки DLL. Подгружаются libcef.dll и sqlite3.dll для расшифровки и запуска пейлоада DarkGate.

Роскомнадзор заявил, что не блокирует EA Sports FC и Battlefield 6

Российские игроки снова столкнулись с проблемами доступа к зарубежным сервисам, и снова Роскомнадзор говорит, что это не он. На фоне жалоб пользователей из России ведомство заявило, что не ограничивает доступ к играм EA Sports FC и Battlefield 6.

Ранее СМИ и телеграм-каналы писали, что у российских игроков возникли проблемы с работой сервисов Electronic Arts, в том числе с футбольным симулятором EA Sports FC и шутером Battlefield 6.

«Роскомнадзор не ограничивает доступ к играм EA Sports FC и Battlefield 6», — сообщили в ведомстве, комментируя ситуацию.

История выглядит уже почти как отдельный жанр: пользователи жалуются на недоступность сервиса, начинают подозревать блокировку, после чего регулятор выходит с коротким заявлением в духе «мы ничего не трогали».

Похожий сценарий недавно был со Steam. После жалоб российских пользователей Роскомнадзор также заявил, что не блокирует платформу Valve.

Еще один свежий пример — проблемы с доступом к PyPI, крупнейшему репозиторию пакетов для Python. Тогда российские разработчики массово сообщали о сбоях, но РКН заявил, что не ограничивает работу сервиса и не фиксирует проблем со своей стороны. Позже PyPI снова заработал в штатном режиме.

Пока причина неполадок с сервисами Electronic Arts остаётся неясной. Это может быть технический сбой, проблемы маршрутизации, ограничения на стороне зарубежной инфраструктуры или что-то еще. Но официальная позиция Роскомнадзора уже озвучена: EA Sports FC и Battlefield 6 ведомство не блокирует.

Для геймеров это, правда, слабое утешение.

RSS: Новости на портале Anti-Malware.ru