Вымогатель Locky вернулся к своему первоначальному методу распространения, а именно к использованию офисных документов с вредоносными макросами, предупреждают исследователи FireEye.
Замеченный впервые в феврале, Locky встал особняком, потому что он может шифровать неотображённые сетевые ресурсы, к тому же, он был связан с ботнетом Dridex. Обе угрозы используют макросы для распространения и получали одни и те же обновления функционала.
Распространясь через ботнеты Dridex и Necurs, Locky быстро стал одной из основных угроз. Был опробован новый метод распространения через вложения JavaScript. А совсем недавно этот шифровальщик для заражения стал использовать скрипты Windows (WSF).
По исследователей FireEye Labs, вымогатель опять начал использовать вредоносные макросы, ориентируюсь как на частные лица, так и на организации. Были затронуты организации в сфере здравоохранения, телекоммуникаций и транспорта.
Спам-кампании поражают цели по всему миру, хотя Соединенные Штаты, Япония и Корея являются главными пострадавшими. Таиланд, Сингапур, Германия, Гонконг, Малайзия, Тайвань и Саудовская Аравия входят в десятку самых атакуемых стран.
Вредоносные документы представляют собой DOCM-файлы, которые после запуска устанавливают вымогатель на компьютер жертвы. Киберпреступники часто прячут вредоносные программы внутри DOCM-документов, затем переименовывая их в DOCX, так как этот формат не поддерживает макросы. Тем не менее, Office распознает эти файлы как DOCM и запускает их вместе с макросами.
Исследователи FireEye заметили, что злоумышленники вернулись к методу с макросами в начале августа, и это привело к увеличению инфицирования Locky. Три массовые кампании были замечены 9 августа, 11 августа и 15 августа.
Эти кампании имеют сходство в использовании макро-кода - "одноразовый" код для загрузки Locky с сервера, вредоносный URL встроенный в макро-код кодируется с помощью той же функции, но с различными ключами для каждой кампании.
«Инструменты и методы, используемые в кампаниях по распространению Locky постоянно меняются. В данном случае мы наблюдаем переход от использования загрузчика на основе JavaScript к использованию макросов в DOCM. Кроме того, тенденции показали, что злоумышленники предпочитают распространять вымогатели, нежели чем банковские трояны, так как это более прибыльно», - говорят исследователи FireEye.
C 12 ноября ряд пользователей Windows 10 столкнулись с проблемой обновления и деинсталляции пакетных приложений вроде Microsoft Teams. Microsoft подтвердила наличие бага и отозвала обновление WinAppSDK.
Судя по всему, проблема вызвана пакетом WinAppSDK версии 1.6.2, которая автоматом установилась в системы пользователей после инсталляции приложения, разработанного с использованием Win App SDK.
На затронутых устройствах, работающих под управлением Windows 10 22H2, выводилась ошибка «Something happened on our end» в разделе «Загрузки» Microsoft Store.
«Если вы системный администратор и пытаетесь управлять приложениями через PowerShell с помощью команды “Get-AppxPackage“, система может выдать вам ошибку “Deployment failed with HRESULT: 0x80073CFA“», — объясняет Microsoft.
«Вы также можете столкнуться с проблемами обновления или переустановки Microsoft Teams и других сторонних приложений».
Корпорация пока отозвала проблемную версию WinAppSDK 1.6.2. Один из разработчиков Майк Кридер уточнил, что фикс стоит ждать с выходом WinAppSDK 1.6.3.
Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
