Даже логотип Windows не защищен от вредоносного ПО

1 октября 2022 г.

Похоже, что даже логотип Windows больше не защищен от вредоносного ПО. , так как некоторым киберпреступникам удалось успешно спрятать внутри него вредоносный код.

Эксперты по кибербезопасности Symantec утверждают, что обнаружили одну из таких кампаний с использованием процесса сокрытия вредоносного кода в безвредных изображениях, также известного как стеганография.

Обычно это делается, чтобы избежать обнаружения антивирусными программами, поскольку такие решения редко обнаруживают изображения как вредоносный.

Нападки на правительства

В данном конкретном случае группа, занимающаяся стеганографическими атаками, называется Witchetty. Она известна как злоумышленник, предположительно тесно связанный с спонсируемым государством китайским актером Cicada (AKA APT10), а также считается частью организации TA410, нацеленной на Поставщики энергии в США в прошлом.

Группа начала свою последнюю кампанию в феврале 2022 года, нацеленную как минимум на два правительства на Ближнем Востоке.

Более того, атака на фондовую биржу в Африке якобы все еще активна. Witchetty использовала стеганографические атаки, чтобы скрыть бэкдор с шифрованием XOR, который был размещен в облачном сервисе, что свело к минимуму его шансы на обнаружение. Чтобы сбросить веб-шеллы на уязвимые конечные точки, злоумышленники использовали известные уязвимости Microsoft Exchange ProxyShell. для начального доступа: CVE-2021-34473, CVE-2021-34523, CVE-2021-31207, CVE-2021-26855 и CVE-2021-27065.

"Такая маскировка полезной нагрузки позволяла злоумышленникам разместить его на бесплатном надежном сервисе», — заявили в Symantec. «Загрузки с доверенных хостов, таких как GitHub, гораздо реже вызывают тревогу, чем загрузки с командно-контрольного (C&C) сервера, контролируемого злоумышленником».

Бэкдор с шифрованием XOR позволяет злоумышленникам выполнять ряд действий, в том числе вмешиваться в файлы и папки, запускать и завершать процессы, вносить изменения в реестр Windows, загружать дополнительное вредоносное ПО, красть документы, а также превращать скомпрометированную конечную точку в сервер C2.

В последний раз мы слышали о Cicada в апреле 2022 года, когда исследователи сообщили, что группа злоупотребляла популярным медиаплеером VLC для распространения вредоносных программ и шпионажа за государственными учреждениями и смежными организациями, расположенными в США. Канада, Гонконг, Турция, Израиль, Индия, Черногория и Италия.

• Познакомьтесь с лучшими брандмауэрами

.

Через: BleepingComputer

---

Оригинал