Киберпреступники доставляют эксплойт пользователям Foxit PDF Reader

Киберпреступники доставляют эксплойт пользователям Foxit PDF Reader

Киберпреступники доставляют эксплойт пользователям Foxit PDF Reader

Злоумышленники используют несовершенства всплывающих предупреждений Foxit PDF Reader для доставки вредоноса пользователям через зараженные PDF-файлы. Foxit PDF Reader насчитывает более 700 миллионов юзеров по всему миру, у компании есть клиенты в правительственном и технологическом секторах.

Исследователи из Check Point провели анализ некоторых кампаний, применяющих данную схему атак, и пришли к выводу, что хакеры используют различные конструкторы эксплойтов .NET и Python, наиболее популярным из которых является «PDF Exploit Builder». 

Он применяется для создания PDF-документов с макросами, выполняющими команды-скрипты, которые загружают и исполняют вредоносные программы (Agent Tesla, Remcon RAT, Xworm, NanoCore RAT и другие).

Специалисты пояснили, что в используемом для эксплойта шаблоне PDF содержится текст-заполнитель, который должен быть заменен, когда пользователь введет URL-адрес для загрузки вредоносного файла.

Некоторые всплывающие предупреждения при открытии файлов-ловушек в Foxit Reader делают вредоносную опцию выбором по умолчанию, а хакеры активно этим пользуются.

Перед пользователем последовательно открываются два всплывающих окна. Первое предупреждает об отключении функций во избежание потенциальных рисков безопасности, просит пользователя либо доверять этому документу только один раз, либо всегда (первый вариант является вариантом по умолчанию, а также более безопасным).

После нажатия кнопки «ОК» всплывает еще одно предупреждение:

 

Если пользователь, не прочитав текст предупреждения, примет опции по умолчанию, он позволит Foxit выполнить вредоносную команду.

Специалисты утверждают, что данный эксплойт уже много лет популярен среди киберпреступников благодаря успешности заражения и низкому проценту обнаружения из-за использования Adobe большинством AV и песочниц.

Исследователи Check Point сообщили Foxit о проблеме. Компания пообещала, что устранит ее в версии 2024 3.

Антонис Терефос, инженер по реверсингу из Check Point Research, предположил, что надежнее всего было бы обнаружить и отключить эти типы выполнения CMD. По его мнению, Foxit, скорее всего, просто изменят опции по умолчанию на "Не открывать".

САКУРА 2.37.2 получила поддержку Wayland и Astra Linux МКЦ

Компания «ИТ-Экспертиза» выпустила обновлённую версию программного комплекса информационной безопасности САКУРА 2.37.2. В релизе разработчики сосредоточились на расширении функциональности, повышении стабильности и доработке инструментов контроля рабочих мест.

Одним из ключевых изменений стала поддержка протокола Wayland в Linux. Это расширило список совместимых дистрибутивов и позволило сделать работу агентов более стабильной и менее ресурсоёмкой — что особенно важно для рабочих станций с ограниченными аппаратными возможностями.

Кроме того, агент САКУРА теперь совместим с Astra Linux в режиме мандатного контроля целостности (МКЦ). Благодаря этому программный комплекс можно использовать в средах с повышенными требованиями к безопасности — в том числе в корпоративных и государственных инфраструктурах, где необходим дополнительный уровень защиты.

В системе отчётности появилось небольшое, но практичное улучшение: в отчётах об установленном ПО добавлен фильтр «архивности» рабочих мест. Он позволяет исключать устаревшие или неактуальные данные, упрощая аналитику и помогая точнее оценивать потребности в лицензиях.

Разработчики также поработали над внутренними механизмами. Был повышен надёжность и скорость передачи метрик с агента на сервер, за счёт чего система быстрее реагирует на нарушения и сокращает время между обнаружением проблемы и её устранением. Доработана интеграция с OpenVPN: агент теперь получает имя VPN-пользователя из сертификата, что упрощает управление доступом для удалённых сотрудников и делает его более прозрачным.

Ещё одно заметное изменение касается пользовательских уведомлений. В версии 2.37.2 реализован единый механизм оповещений на рабочих станциях с использованием кросс-платформенного фреймворка Fyne. Это позволило унифицировать внешний вид уведомлений в Windows, macOS и Linux и снизить зависимость от нативных библиотек.

В обновлении также исправлен ряд ошибок. В частности, устранена проблема, из-за которой мог игнорироваться параметр уведомления пользователей при нарушении правил контроля. Исправлены сбои при восстановлении VPN-соединений через КриптоПро NGate, а также некорректное отображение пользовательских уведомлений для собственных правил контроля.

Группа компаний «ИТ-Экспертиза» занимается разработкой и внедрением решений в сфере информационной безопасности, а программный комплекс САКУРА входит в Реестр отечественного ПО. Новый релиз продолжает развитие продукта в сторону более гибкой работы с Linux-средами, удалённым доступом и высокозащищёнными ИТ-ландшафтами.

RSS: Новости на портале Anti-Malware.ru