Фишеры используют протокол Windows Search для распространения вредоносов

Фишеры используют протокол Windows Search для распространения вредоносов

Фишеры используют протокол Windows Search для распространения вредоносов

В новой фишинговой кампании злоумышленники используют HTML-вложения, эксплуатирующие поисковой протокол Windows (search-ms URI) для распространения вредоносных программ.

Протокол Windows Search позволяет приложениям запускать Проводник и искать в нём файлы с определёнными параметрами.

Как правило, такой поиск ограничивается локальным индексом устройства, однако в некоторых случаях Windows Search можно заставить извлечь расшаренные файлы с удалённых хостов.

Киберпреступники могут использовать эту функциональность для распространения вредоносных программ. Например, два года назад в компоненте Windows Search нашли уязвимость нулевого дня, позволяющую заставить поиск запросить общие файловые ресурсы, расположенные на удалённых хостах.

В новом отчёте исследователей из Trustwave SpiderLabs описывается новая киберпреступная кампания, в которой атакующие как раз используют эту функциональность.

В частности, злоумышленники задействуют HTML-вложения для запуска поиска на собственных серверах. В одной из таких атак специалисты отметили вложение в формате HTML, замаскированное под счёт. Этот аттач фишеры поместили в небольшой ZIP-архив, что помогает обойти антивирусную защиту.

 

Сам HTML-файл использует тег <meta http-equiv= «refresh»>, чтобы браузер автоматически открыл вредоносный URL при запуске документа.

 

Если автоматическое открытие веб-страницы не срабатывает из-за настроек браузера, в документе есть кликабельная ссылка, однако здесь уже требуется участие пользователя.

 

Поиск на удалённом сервере может выполняться со следующими параметрами:

  • Query — ищет элементы с «INVOICE».
  • Crumb — определяет область поиска и указывает на вредоносный сервер с помощью Cloudflare.
  • Displayname — переименовывает отображение поиска в «Загрузки», что помогает маскировать вредоносную активность под легитимную.
  • Location — использует сервис туннелирования Cloudflare для маскировки сервера.

Далее устройство получает список файлов с удалённого сервера и выводит ярлык (LNK-файл) в виде счёта. Если пользователь откроет этот файл, запустится BAT-скрипт, размещённый на том же вредоносном сервере.

Защититься от подобных атак достаточно легко: нужно удалить определённые ключи реестра с помощью следующих команд:

reg delete HKEY_CLASSES_ROOT\search /f
reg delete HKEY_CLASSES_ROOT\search-ms /f

Brave начал скрывать видеокарту от любопытных сайтов

В Brave 1.93 появилась защита от отслеживания пользователей по характеристикам графического оборудования. Браузер теперь маскирует подробные сведения, которые сайты получают через WebGL и WebGPU. Функция включена по умолчанию на компьютерах и Android, а обновление будет распространяться постепенно в течение нескольких дней.

WebGL и WebGPU нужны для ускоренной графики, игр и интерактивных элементов.

Однако вместе с полезными возможностями они раскрывают модель видеокарты, сведения о драйверах и поддерживаемых функциях. Трекеры объединяют эти данные с другими параметрами и получают устойчивый цифровой отпечаток браузера.

Графический адаптер особенно удобен для слежки: пользователи меняют его заметно реже, чем IP-адрес или файлы cookie. Видеокарта может годами работать внутри компьютера и всё это время исправно представлять хозяина каждому любопытному сайту.

Теперь Brave заменяет строки производителя и визуализатора WebGL одним универсальным значением, скрывает данные адаптера WebGPU и случайным образом меняет списки расширений WebGL. Это должно сделать отпечатки менее точными и не позволить сайтам уверенно связывать разные сеансы с одним устройством.

Перед массовым запуском разработчики проверили механизм в Nightly- и бета-версиях браузера. Компания старалась сохранить работу сайтов, урезав только объём информации, доступной системам слежения.

Если новый режим всё же сломает графику или интерактивные функции, его можно отключить для конкретного сайта. Пользователям также разрешено полностью выключить защиту от цифровых отпечатков или систему Shields.

В дальнейшем Brave собирается рандомизировать и список поддерживаемых расширений WebGPU. Проверить, сколько информации раскрывает браузер, можно с помощью сервиса EFF Cover Your Tracks.

RSS: Новости на портале Anti-Malware.ru