Эта новая вредоносная программа захватывает Windows WordPad, чтобы избежать обнаружения

29 мая 2023 г.

Хакеры начали использовать уязвимость в текстовом редакторе WordPad, предустановленном в операционной системе Windows 10, для распространения Qbot вредоносное ПО.

Исследователь по кибербезопасности и член Cryptolaemus под псевдонимом ProxyLife обнаружил новую кампанию по электронной почте, в которой хакеры распространяют программу WordPad. вместе с вредоносным .DLL.

При запуске WordPad будет искать определенные файлы .DLL, необходимые для правильной работы. Во-первых, он будет искать файлы в той же папке, где находится, и, если найдет их, автоматически запустит их, даже если эти файлы .DLL являются вредоносными.

захват DLL

Эту практику обычно называют "загрузкой неопубликованных DLL" или "перехватом DLL", и это известный метод. Ранее было замечено, что хакеры использовали приложение «Калькулятор», чтобы сделать то же самое.

В этом конкретном случае, когда WordPad запускает DLL, вредоносный файл будет использовать исполняемый файл Curl.exe (находящийся в папке System32). ), чтобы загрузить DLL, притворяющуюся PNG. Эта DLL на самом деле является Qbot, древним банковским трояном, который может красть электронные письма для использования в новых фишинговых атаках и инициировать загрузку дополнительных вредоносных программ, таких как, например, Cobalt Strike.

Используя законные программы, такие как WordPad или Calculator, для запуска вредоносных DLL-файлов злоумышленники надеются обойти любые антивирусные программы и оставаться скрытными во время атаки.

Однако, поскольку этот метод требует использования Curl.exe, он работает только в Windows 10 и более поздних версиях, поскольку в предыдущих версиях эта программа не была предустановлена. Это не приносит особой пользы, так как в любом случае поддержка старых версий в основном подходит к концу, а пользователи переходят на Windows 10 и Windows 11. 

Прямо сейчас, сообщает BleepingComputer, операция QBot перешла к другим методы заражения в последние недели.

• Вот наш список лучшего программного обеспечения для защиты конечных точек. вокруг

Через: BleepingComputer

---

Оригинал