Все больше поддельных обновлений Windows распространяют вредоносное ПО, поэтому следите за тем, что загружаете
11 мая 2023 г.Исследователи предупредили о новой кампании кибермошенничества с использованием поддельных обновлений Windows, чтобы заставить жертв загрузить и запустить на своих устройствах информационную программу Aurora.
Эксперты Malwarebytes недавно обнаружили вредоносную рекламную кампанию с использованием всплывающих окон. объявления для доставки загрузчика вредоносного ПО.
Всплывающее окно реклама – это реклама, которая загружается в браузере и становится видимой только после того, как пользователь закрывает или перемещает браузер. зрения. Эти объявления, которые в основном показываются на веб-сайтах с контентом для взрослых с высоким трафиком, отображаются в полноэкранном режиме и сообщают пользователю, что ему необходимо обновить свое устройство. Сообщалось, что в этой кампании использовалось более дюжины доменов.
турецкие жертвы
Те, кто попадется на уловку, загрузят файл с именем ChromeUpdate.exe, который на самом деле является загрузчиком вредоносного ПО под названием «Неверный принтер». Исследователи говорят, что Invalid Printer — это так называемый «полностью необнаруживаемый» (FUD) загрузчик вредоносных программ, используемый исключительно этим конкретным, но неназванным злоумышленником. Как только Invalid Printer доберется до целевой конечной точки, он сначала проверит графическую карту, чтобы узнать, установлена ли она на виртуальной машине или в песочнице. Если он определяет, что устройство является законной целью, он распаковывает и запускает копию инфостилера Aurora.
Aurora — это вредоносное ПО с «широкими возможностями» и низким уровнем обнаружения антивирусов, утверждают его создатели. На самом деле антивирусным программам потребовалось несколько недель, чтобы начать помечать установки Aurora как вредоносные, сообщает Malwarebytes. Написанная на языке Golang, Aurora уже более года продается на форумах даркнета. По мнению исследователей, в ходе этой конкретной кампании было взломано около 600 устройств.
По словам Жерома Сегуры, директора по анализу угроз в Malwarebytes, большинство жертв — турки, поскольку каждый раз, когда в Virus Total отправляется новый образец, он исходит от пользователя из Турции.
"Во многих случаях имя файла выглядело так, как будто оно получено компилятором (например, build1_enc_s.exe)", — заключил исследователь.
.Через: BleepingComputer
Оригинал