SecureWorks: ботнет прячет инструкции в картинки

SecureWorks: ботнет прячет инструкции в картинки

Специалисты SecureWorks обнаружили ботнет, который маскирует инструкции от контролирующего центра под JPEG-файлы. По заявлениям специалистов, эта маскировка под картинки далеко не совершенна, поэтому она вполне поддаётся "вычислению" защитными средствами.

Речь идёт о троянской программе, которую в SecureWorks называют Monkif/DlKhora. Основное назначение этого трояна заключается в загрузке на зараженный компьютер других программ и их последующем запуске. Кроме того, Monkif пытается отключать установленные на компьютере антивирусную защиту и файрвол.

Специалисты отмечают, что особый интерес представляет схема взаимодействия этого загрузочного трояна с контролирующим центром. Инструкции от него приходят в таком виде, словно это HTTP-сервер, возвращающий изображение в формате JPEG по запросу клиентской машины. В частности, они сопровождаются HTTP-заголовком с "Content-Type: image/jpeg", а также 32-байтным JPEG-заголовком. Бот мониторит входящий трафик. Распознает такой заголовок, и затем декодирует оставшуюся часть сообщения.

Впрочем, как говорят в SecureWorks, несмотря на то, что задумана эта схема с некоторой долей фантазии, реализована она довольно топорно. Так, инструкции кодируются весьма примитивно: "исключающее или" с фиксированным однобайтовым ключом. Маскировка под картинку тоже является неидеальной. Даже данные о размере изображения в поддельном JPEG-заголовке не соответствуют самому "изображению"-инструкции. Все это может быть использовано специалистами для отлавливания таких инструкций в общем трафике.

источник 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Windows 10 и 11 теряют Copilot после мартовского обновления

Microsoft предупредила пользователей о проблеме, связанной с мартовскими обновлениями Windows: помощник Copilot автоматом удаляется с некоторых компьютеров на Windows 10 и Windows 11.

Ошибка затрагивает устройства, на которых были установлены кумулятивные обновления KB5053598 (Windows 11 24H2) и KB5053606 (Windows 10 22H2), выпущенные 11 марта 2025 года в рамках Patch Tuesday.

По данным Microsoft, баг приводит к полному удалению приложения Copilot и откреплению соответствующей иконки от панели задач. При этом проблема не затрагивает Copilot для Microsoft 365.

Как пишет BleepingComputer, компания пока не объяснила, почему это происходит, и не добавила этот баг в Windows Release Health Dashboard — официальный список известных проблем в Windows.

Microsoft уже работает над решением проблемы, но пока пользователям предлагается самостоятельно переустановить Copilot из Microsoft Store и закрепить его на панели задач вручную.

Напомним, на прошлой неделе мы писали ещё об одной проблеме, связанной с апдейтами: USB-принтеры стали печатать бессмыслицу.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru