Новый Windows-бэкдор BITSLOTH использует службу BITS для С2-связи

Новый Windows-бэкдор BITSLOTH использует службу BITS для С2-связи

Новый Windows-бэкдор BITSLOTH использует службу BITS для С2-связи

Исследователи в области кибербезопасности наткнулись на ранее неизвестный Windows-бэкдор, использующий Фоновую интеллектуальную службу передачи (BITS) для получения команд (C2). Вредоносу дали имя BITSLOTH.

Впервые бэкдор попался на глаза специалистам компании Elastic Security Labs 25 июня 2024 года. Тогда его связывали с кибератакой на неназванное госучреждение Южной Америки.

«На момент этой публикации последняя версия бэкдора располагает 35 функциями, включая возможности кейлогера и захвата экрана. Кроме того, у BITSLOTH есть дополнительная функциональность, необходимая для обнаружения, перечисления и выполнения из командной строки», — пишут в отчёте исследователи Сет Гудвин и Дэниел Степаник.

По оценкам Elastic Security Labs, BITSLOTH находится в разработке с декабря 2021 года и используется операторами преимущественно для сбора данных. Пока бэкдор не связали с конкретной кибергруппировкой, однако эксперты утверждают, что его авторы могут говорить на китайском языке.

На связь с Китаем исследователей также натолкнуло использование инструмента RingQ. Последний обычно применяется для шифрования вредоносных программ, чтобы те могли уйти от детектирования.

 

Ранее в отчёте AhnLab Security Intelligence Center (ASEC) отмечалась связь китайской киберпреступной группы с серверами, распространявшими вредоносы с помощью RingQ.

Сам бэкдор BITSLOTH использует библиотеку «flengine.dll» и метод сторонней загрузки (DLL sideloading), внедряясь в легитимный исполнимый файл популярного секвенсора и DAW — FL Studio.

«В последней версии BITSLOTH получил новый компонент для планирования, позволяющий выбирать отдельные временные промежутки для работы в системе жертвы», — объясняют исследователи.

Бэкдор может выполнять команды, выгружать и скачивать файлы, составлять список файлов, собирать данные с помощью фиксации нажатий клавиш и записи экрана.

Помимо этого, вредоносная программа устанавливает связь с командным центром, используя BITS — фоновая службы служба передачи, которая обычно применяется сисадминами для скачивания файлов или их отправки на веб-серверы.

Microsoft вставила рекламу апгрейда в Office даже для платных подписчиков

Microsoft решила, что одной подписки на Microsoft 365 мало, и начала показывать пользователям Word, Excel и PowerPoint настойчивое предложение заплатить ещё больше. В заголовке приложений появился баннер с иконкой бриллианта и надписью «Обновите свой план».

Его видят даже владельцы действующей подписки Microsoft 365, а кнопки «Спасибо, не надо» компания не предусмотрела, убрать рекламу штатными средствами нельзя.

После нажатия открывается окно с текущим тарифом и предложениями перейти на более дорогой. Например, подписчикам Microsoft 365 Family предлагают прокачать работу с ИИ и оформить Microsoft 365 Premium за $19,99 в месяц.

 

Для первого месяца может действовать скидка до $9,99, чтобы расставание с деньгами прошло чуть менее болезненно.

Ниже Microsoft на всякий случай перечисляет преимущества Microsoft 365: облачное хранилище, защиту от программ-вымогателей, увеличенные лимиты Copilot и электронную почту без рекламы. Последний пункт особенно хорош, когда сама реклама уже поселилась в оплаченных офисных приложениях.

Пользователи встретили нововведение без восторга. На порталах обратной связи Word и Excel появились десятки обсуждений и комментариев с жалобами на навязчивый баннер. Главная претензия звучит так: люди уже платят за продукт, но всё равно получают неснимаемую рекламу более дорогой подписки.

Ранее Microsoft провернула похожий трюк в Teams и тоже получила волну недовольства. Теперь компания расширила рекламный эксперимент на основные приложения Office.

RSS: Новости на портале Anti-Malware.ru