Вредонос прячется в PuTTY и WinSCP — через рекламу и SEO-ловушки

Вредонос прячется в PuTTY и WinSCP — через рекламу и SEO-ловушки

Вредонос прячется в PuTTY и WinSCP — через рекламу и SEO-ловушки

Исследователи из Arctic Wolf обнаружили опасную кампанию, нацеленную на айтишников и системных администраторов, которые скачивают утилиты вроде PuTTY и WinSCP. Только вот вместо легальных программ — троянизированные версии с бэкдорами, а всё начинается с обычного поиска в Bing или Google.

Злоумышленники используют методы SEO и вредоносную рекламу (malvertising), чтобы продвигать фейковые сайты, которые выглядят как официальные страницы известных инструментов. Кликаешь на ссылку — и оказываешься на поддельном сайте, где вместо PuTTY тебе подсовывают вредоносный инсталлятор.

После запуска такая «утилита» устанавливает бэкдор — Oyster или Broomstick, — который открывает хакерам доступ к системе:

  • кража данных
  • перемещение внутри сети
  • установка другого вредоноса

Как зловред закрепляется в системе

Для устойчивости бэкдор создаёт запланированную задачу, которая срабатывает каждые 3 минуты и запускает DLL-файл twain_96.dll через rundll32.exe. Это старый трюк с DLL-регистрацией, но всё ещё рабочий — и вполне эффективный.

 

Что делать

Arctic Wolf предупреждает: пока подтверждены только PuTTY и WinSCP, но этот же подход легко применим к другим популярным утилитам. Поэтому:

  • Не скачивайте админские инструменты через поисковики. Только официальные сайты или внутренние репозитории.

  • Обучите ИТ-персонал: любые подозрительные сайты, даже «очень похожие», могут быть ловушкой.

  • Добавьте в блок-листы фальшивые домены, связанные с кампанией (см. ниже).

  • Обновите политики безопасности: в том числе про установку ПО и источники загрузки.

IOC — домены, которые нужно заблокировать:

  • updaterputty[.]com
  • zephyrhype[.]com
  • putty[.]run
  • putty[.]bet
  • puttyy[.]org

Роскомнадзор обсудил с ИТ-компаниями идею единого ГосVPN

В российской ИТ-отрасли обсуждают очередную необычную инициативу. По данным источников СМИ, на совещании Роскомнадзора с представителями ИТ-компаний прозвучала идея создания единого государственного VPN-сервиса для доступа к зарубежным ресурсам.

Как утверждают участники встречи, мероприятие носило установочный характер и должно стать первым из серии подобных обсуждений.

Одной из главных тем стали сложности с доступом к зарубежным репозиториям и взаимодействием российских разработчиков с международными платформами.

По словам источников, представители Роскомнадзора предложили поддерживать более тесное взаимодействие с отраслью, а также вновь подняли тему создания отечественного репозитория свободного программного обеспечения.

Однако больше всего внимания привлекла другая идея — создание некоего «ГосVPN» со сложной архитектурой. Предполагается, что разработчикам могут рекомендовать использовать именно этот канал для доступа к необходимым зарубежным ресурсам. Впрочем, никаких технических деталей пока не раскрывается. Обсуждение концепции, как ожидается, продолжится на следующих встречах.

По словам собеседников рынка, энтузиазма такая инициатива пока не вызывает. Представители отрасли предпочитают дождаться конкретики и понять, как именно будет работать предполагаемый сервис.

На этом фоне продолжается обсуждение другой идеи — предоставить россиянам доступ к отдельным зарубежным сервисам без необходимости использовать сторонние VPN.

Ранее генеральный директор «Билайна» Сергей Анохин рассказывал, что операторы связи совместно с властями прорабатывают механизмы доступа к востребованным ресурсам, которые не заблокированы в России, но сами ограничили работу для российских пользователей.

В качестве примеров он приводил зарубежные нейросети, Netflix и другие популярные сервисы. По словам Анохина, идея уже получила поддержку и находится в проработке.

RSS: Новости на портале Anti-Malware.ru