Скрытый бэкдор в фейковых IP-сканерах продвигается с помощью Google Ads

Скрытый бэкдор в фейковых IP-сканерах продвигается с помощью Google Ads

Скрытый бэкдор в фейковых IP-сканерах продвигается с помощью Google Ads

Новая вредоносная рекламная кампания в Google подкидывает пользователю бэкдор под названием MadMxShell, используя кластер доменов, имитирующих легитимные IP-сканеры.

Исследователи из Zscaler ThreatLabz рассказывают, что злоумышленники зарегистрировали несколько доменных имен, близких по написанию к адресам популярных сайтов, и c помощью Google Ads, по ключевым словам, вывели эти домены в топ результатов поисковой системы. Хакеры рассчитывали на невнимательность жертв.

Пользователям открываются фиктивные сайты, содержащие JavaScript-код, который загружает на устройство вредоносный файл «Advanced-ip-scanner.zip» при нажатии кнопки загрузки.

В ZIP-архиве присутствует библиотека «IVIEWERS.dll» и исполняемый файл «Advanced-ip-scanner.exe». Последний использует метод сторонней загрузки DLL для заражения.

DLL-файл отвечает за внедрение шелл-кода в процесс «Advanced-ip-scanner.exe» с помощью техники, называемой «Process Hollowing» (внедрение в пустой процесс), после чего вредоносный EXE-файл распаковывает два дополнительных файла – «OneDrive.exe» и «Secur32.dll».

«OneDrive.exe», легитимный подписанный двоичный файл Microsoft, затем используется для боковой загрузки «Secur32.dll» и в конечном счете для выполнения шелл-кода бэкдора, но не раньше, чем он будет сохранен на хосте с помощью запланированной задачи и отключения антивируса Microsoft Defender.

Бэкдор предназначен для сбора системной информации, запуска команд через cmd.exe и выполнения основных операций с файлами, таких как чтение, запись и удаление файлов.

 

Стало известно, что было зарегистрировано 45 доменов в период с ноября 2023-го по март 2024 года, которые маскировались под известные программы для сканирования портов и управления ИТ, такие как Advanced IP Scanner, Angry IP Scanner, IP-сканер PRTG и ManageEngine.

Хоть это уже не первый случай заражения устройств пользователей через фиктивные сайты с помощью вредоносной рекламы, данная разработка впервые распространяет сложный бэкдор для Windows.

Компания Zscaler заявила, что пока ничего не известно о злоумышленниках и их намерениях, но уже есть зацепки в виде учетных записей, созданных на криминальных подпольных форумах. Ещё в июне 2023 года хакеры предлагали способы создания неограниченных предварительно финансируемых Google аккаунтов, что указывает на их заинтересованность в создании и запуске их собственной длительной кампании вредоносной рекламы.

Microsoft отключит Defender для Android 10 уже 31 марта

Microsoft напомнила администраторам: до 31 марта 2026 года остаётся меньше трёх недель. Именно в этот день корпорация окончательно прекратит выпуск патчей и техническую поддержку Defender для устройств на Android 10. Формально приложение продолжит работать и после этой даты, но без новых сигнатур, устранения уязвимостей и поддержки со стороны Microsoft.

Проще говоря, защита «замрёт» в текущем состоянии, а со временем такие устройства будут становиться всё более уязвимыми.

По сути, Android 10 выходит из зоны активной мобильной защиты Microsoft. Если устройство нельзя обновить до Android 11 или более новой версии, оно превращается в потенциальную проблему для корпоративной сети.

Интересно, что в уведомлении Microsoft подчёркивает: «никаких действий со стороны администратора не требуется». Формально — да, всё произойдёт автоматически.

Но на практике ИТ-отделам придётся провести инвентаризацию, определить устройства на Android 10, решить, можно ли их обновить, и при необходимости заменить. А это уже вполне ощутимые трудозатраты и расходы.

Отдельный вопрос — продолжит ли корректно работать телеметрия и отчётность с таких устройств в панели Microsoft Defender XDR. Редмонд прямо этого не уточняет, поэтому администраторам, которые не планируют срочно обновлять парк устройств, стоит внимательно следить за совместимостью.

Подробности о прекращении поддержки опубликованы в Microsoft 365 Admin Center под идентификатором сообщения MC1222977.

Таким образом, у компаний осталось совсем немного времени, чтобы привести мобильные устройства в соответствие с новыми требованиями, иначе Android 10 рискует стать слабым звеном в корпоративной безопасности.

RSS: Новости на портале Anti-Malware.ru