Новый инфостилер Glove обходит шифрование cookies в Chrome

Новый инфостилер Glove обходит шифрование cookies в Chrome

Новый инфостилер Glove обходит шифрование cookies в Chrome

Glove — новая вредоносная программа, которую авторы научили обходить привязанное к софту шифрование, недавно добавленное в Google Chrome. Цель «перчатки» в системе — выкрасть пользовательские данные.

Первыми на киберугрозу обратили внимание специалисты компании Gen Digital. Изучая фишинговую кампанию, исследователи наткнулись на Glove.

По словам экспертов, новый вредонос относительно прост в исполнении, содержит минимальное количество защитных механизмов и обфускации. Всё это указывает на то, что Glove пока находится в стадии разработки.

Операторы зловреда используют методы социальной инженерии, напоминающие те, что уже применялись в кампании ClickFix: жертву обманом заставляли установить в систему инфостилер с помощью фейковых окон с ошибкой и приатаченного к письмам HTML-вложения.

 

Чтобы добраться до учётных данных, сохранённых в Chromium-браузерах, Glove обходит недавно представленное шифрование, привязанное к софту (App-Bound Encryption).

Для этого вредонос задействует метод, описанный в прошлом месяце исследователем в области кибербезопасности Александром Хагенахом. Суть заключается в использовании вспомогательного модуля, который подтягивает службу Chrome в Windows — COM-based IElevator (работает с правами SYSTEM).

Таким способом Glove вытаскивает и расшифровывает ключи App-Bound Encryption. Однако есть нюанс: инфостилеру сначала надо получить на устройстве права локального администратора.

Попав в систему, Glove пытается вытащить cookies, данные криптовалютных кошельков, сессионные токены и пароли из браузеров и имейл-клиентов.

Windows требует включить антивирус, который уже работает

Microsoft подтвердила ошибку в Microsoft Defender: Windows показывает уведомление «Включите защиту от вирусов», хотя антивирус уже работает и защита в реальном времени активна. Предупреждения появляются после последних обновлений Defender, при запуске компьютера или прямо во время работы. Фикса пока нет.

Нажатие на уведомление ничего не исправляет и просто открывает главную страницу приложения «Безопасность Windows». Можно закрыть баннер, но вскоре он способен вернуться с тем же посылом.

Проблема затрагивает Windows 11 версий 23H2, 24H2 и 25H2, а также Windows 10 и выпуски Windows Server с актуальным Microsoft Defender. Ошибка связана именно с обновлением антивируса, а не с конкретной сборкой операционной системы.


Особенно назойливо ведёт себя система уведомлений: предупреждения обходят общие настройки Windows и продолжают появляться даже при включённом режиме «Не беспокоить». Microsoft работает над исправлением и обещает выпустить его с одним из следующих обновлений Defender, но сроков пока не называет.

Автоматически считать любой такой баннер ложным всё же не стоит, похожие сообщения могут показывать и вредоносные программы. Проверить защиту можно в разделе «Безопасность Windows» → «Защита от вирусов и угроз». Параметр «Защита в реальном времени» должен быть включён.

Для дополнительной проверки в PowerShell можно выполнить:

Get-MpComputerStatus | Select-Object AntivirusEnabled,RealTimeProtectionEnabled,AMServiceEnabled

Если напротив всех трёх параметров указано True, Defender работает, а предупреждение можно игнорировать.

RSS: Новости на портале Anti-Malware.ru