Российские компании атакуют с помощью почти невидимого загрузчика

Российские компании атакуют с помощью почти невидимого загрузчика

Российские компании атакуют с помощью почти невидимого загрузчика

Весь 2024 год исследователи фиксировали атаки на российские компании, которые совершались с помощью загрузчика GuLoader. Софт, загружавший всевозможные зловреды, был почти невидим для широкого спектра защитных средств.

Зловред GuLoader известен с 2019 года и неоднократно модернизировался. Он распространяется через вложения в электронные письма.

Целями атакующих, как правило, становились российские страховые и фармацевтические компании, а также организации, работающие в сфере доставки и логистики. Вектор распространения зловреда — фишинговые письма. Для правдоподобности злоумышленники рассылали письма от имени реальных компаний из разных отраслей.

Зараженные сообщения содержали архив, в котором находился исполняемый файл PE EXE или, реже, VBS-скрипт. Запуск такого файла активировал загрузчик. В свою очередь GuLoader загружал на зараженные устройства зловреды различного назначения, обычно стилеры, направленные на кражу данных, или трояны, открывающие удаленный доступ (RAT).

Причем зловреды запускалось только после того, как GuLoader проводил предварительную проверку среды исполнения. Это давало злоумышленникам дополнительную гарантию, что вредонос будет запущен на реальном устройстве, а не в виртуальной среде или песочнице.

Олег Скулкин, руководитель BI.ZONE Threat Intelligence привел следующие подробности о зловреде:

«GuLoader обладает рядом особенностей. В его коде имеется весьма широкий арсенал как низкоуровневых, так и высокоуровневых техник и программных процедур, которые позволяют обходить средства защиты и среды исполнения, включая виртуальные машины и продукты класса sandbox. Также GuLoader примечателен тем, что в качестве основной нагрузки он может загружать самое разные вредоносные программы — чаще всего трояны удаленного доступа, стилеры, а также инструменты, совмещающие обе функции».

Сбой у Сбера быстро перекинулся на ВТБ, Т-Банк, Ozon-банк и СБП

Утренний сбой в работе «Сбербанк Онлайн», похоже, быстро перестал быть историей только про один банк. Почти одновременно о проблемах с доступом к сервисам начали сообщать клиенты ВТБ, Т-Банка, Ozon-банка, а также пользователи системы быстрых платежей.

Судя по сообщениям пользователей и данным сервисов мониторинга сбоев, неполадки затронули сразу несколько крупных финансовых платформ.

Тут дело точно не в локальной проблеме внутри одного приложения, а в более широкой волне сбоев, которая задела сразу несколько заметных игроков финансового рынка.

Больше всего жалоб поступает из крупнейших регионов страны — Москвы, Санкт-Петербурга, Московской, Свердловской и Новосибирской областей. Но только ими дело не ограничилось: о перебоях также сообщают пользователи из Самарской и Оренбургской областей, Приморского края, Татарстана, Удмуртии и других регионов.

 

При этом характер проблем у разных сервисов немного отличается. У клиентов ВТБ чаще всего возникают трудности с доступом к сайту, чуть реже — к мобильному приложению. У пользователей Т-Банка, наоборот, основной удар пришёлся именно по приложению, тогда как сайт упоминается заметно реже.

У Ozon-банка картина своя: там пользователи в основном жалуются на некорректную работу самих сервисов и приложения. Проблемы с сайтом, судя по обращениям, встречаются значительно реже.

Параллельно начали поступать сообщения и о сбоях в системе быстрых платежей. Пользователи пишут, что не могут переводить деньги и оплачивать покупки.

RSS: Новости на портале Anti-Malware.ru