NonEuclid RAT: троян удаленного доступа и шифровальщик в одном флаконе

NonEuclid RAT: троян удаленного доступа и шифровальщик в одном флаконе

NonEuclid RAT: троян удаленного доступа и шифровальщик в одном флаконе

В Cyfirma проанализировали образец NonEuclid, рекламируемого в даркнете как RAT, и выяснили, что Windows-троян не только открывает удаленный доступ к зараженным устройствам, но также умеет шифровать файлы.

Рекламу NonEuclid эксперты обнаружили на подпольном форуме в конце ноября. Поиск схожих объявлений показал, что данного зловреда продвигают в таких сообществах, в том числе русскоязычных, как минимум с октября 2021 года, а также активно обсуждают в Discord и на YouTube.

Написанный на C# вредонос вооружен рядом средств защиты от анализа и обнаружения. При запуске он проводит проверки на наличие враждебной среды (ВМ, песочницы) и при наличии таковой немедленно прекращает свое исполнение.

С той же целью троян добавляет свои файлы в исключения Microsoft Defender, а также мониторит запуск процессов (через вызовы Windows API) и прибивает те, которые могут ему помешать — taskmgr.exe, processhacker.exe, procexp.exe и т. п.

Кроме того, NonEuclid умеет обходить Windows-защиту AMSI: отслеживает загрузку модуля amsi.dll и при обнаружении патчит области памяти, связанные с AmsiScanBuffer.

Чтобы обеспечить себе постоянное присутствие, зловред создает запланированные задания и вносит изменения в системный реестр. Он также пытается повысить привилегии посредством выполнения команд и обхода UAC-защиты.

Подключение к C2-серверу осуществляется через TCP-сокет с использованием заданных IP-адреса и порта.

Возможности NonEuclid как шифровальщика ограничены списком расширений, который невелик и включает, в частности, .csv, .txt и .php. Данные шифруются по AES, к именам обработанных файлов добавляется расширение .NonEuclid.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ФАС предлагает снять часть защиты с правообладателей

По мнению Федеральной антимонопольной службы (ФАС), частичное снятие действующих мер по защите интересов правообладателей в сфере ПО поможет восстановить конкурентную среду на рынке и сдержать рост цен на отдельные виды программ. Это, в свою очередь, позволит снизить государственные расходы на цифровизацию — только в рамках нацпроекта «Экономика данных» они оцениваются примерно в 1 трлн рублей.

Однако представители ИТ-отрасли инициативу не поддерживают. С подготовленными ФАС поправками к закону о защите конкуренции, принятому ещё в 2006 году, ознакомился «Коммерсантъ».

Ведомство считает, что, пользуясь государственной защитой от недобросовестной конкуренции, правообладатели могут безнаказанно злоупотреблять доминирующим положением и заключать антиконкурентные соглашения. При этом подобные действия не подпадают под антимонопольный контроль. Документ разработан по поручению первого вице-премьера Дмитрия Григоренко.

В ФАС пояснили, что предлагаемые меры направлены на унификацию антимонопольного регулирования вне зависимости от вида товара. Они также затронут нетранзакционные платформы, включая социальные сети, поисковые системы и видеохостинги.

Напомним, что глава ФАС Максим Шаскольский выступал с такой инициативой ещё на Антимонопольном форуме 2024 года. Ещё ранее, в 2023 году, проблему поднимал министр финансов Антон Силуанов, отмечая, что монопольное завышение цен на программное обеспечение создаёт серьёзную нагрузку на бюджет.

Однако отраслевые ассоциации инициативу не поддержали. Против высказались НП «Руссофт», Ассоциация разработчиков программных продуктов (АРПП) «Отечественный софт» и Ассоциация предприятий компьютерных и информационных технологий (АПКИТ), объединяющие более 600 вендоров.

«Реализация данной инициативы окажет максимально негативное влияние на отечественных разработчиков, которые с 2022 года находятся в условиях ускоренного развития своих продуктов и удовлетворения резко возросших потребностей заказчиков. Из-за вмешательства ФАС IT-компании лишатся возможности выбора партнёров по необходимым компетенциям и выстраивания многоуровневых партнёрских каналов. Это поставит под угрозу задачу достижения цифрового суверенитета и технологического лидерства», — заявил исполнительный директор АРПП «Отечественный софт» Ренат Лашин.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru