Исследователи Arbor Networks столкнулись с новой версией вредоносной программы, которая может быть связана с трояном, используемым в кампании Operation Potao Express.
Вредонос привлек внимание экспертов Arbor Networks после того, как экспертом из Италии, известным под именем Antelox, в Twitter была размещена ссылка на его . Анализ трояна и его дроппера показал, что он может быть связан с семейством вредоносных программ Potao.
Potao описывали как «универсальный модульный инструментарий для кибершпионажа», он появился приблизительно в 2011 году, однако впервые детально был проанализирован ESET в 2015 году.
В своем компания ESET заявила о том, что зловред, скорее всего, родом из России, а использовался он в атаках, направленных против организаций в Украине, России, Грузии и Беларуси.
Как полагает Arbor Networks, новая вредоносная программа, получившая название , может быть связана с Potao. Acronym и его дроппер, предположительно, были созданы в середине февраля.
Дроппер предназначен для завершения системного процесса Windows wmpnetwk.exe и замены легитимного файла wmpnetwk.exe на вредоносный. После запуска Acronym использует реестр или планировщик заданий, чтобы закрепиться в системе. Затем он связывается с командным центром и отправляет ему информацию о зараженной машине.
Как и Potao, Acronym является модульной вредоносной программой. Его встроенные команды позволяют злорумышленнику делать скриншоты, загружать и выполнять файлы, запускать плагины.
На этом сходства этих двух вредоносов не заканчиваются – оба пытаются связаться с командным центром через одни и те же порты и используют имена временных файлов, начинающиеся на «HH».
С другой стороны, есть несколько отличий в работе Potao и Acronym – дроппер Acronym, например, не использует документы для распространения, DLL-файлы и внедрения в процессы тоже не были замечены в работе этого зловреда. Более того, некоторые куски кода Acronym, в том числе отвечающие за связь по протоколу HTTP, шифрование и скриншоты, похоже, были скопированы из общедоступных примеров.
«На данный момент довольно трудно оценить, насколько активно и широко распространено это новое семейство, но у него определенно есть потенциал» - утверждает эксперт Arbor Networks, Деннис Шварц (Dennis Schwarz).
C 12 ноября ряд пользователей Windows 10 столкнулись с проблемой обновления и деинсталляции пакетных приложений вроде Microsoft Teams. Microsoft подтвердила наличие бага и отозвала обновление WinAppSDK.
Судя по всему, проблема вызвана пакетом WinAppSDK версии 1.6.2, которая автоматом установилась в системы пользователей после инсталляции приложения, разработанного с использованием Win App SDK.
На затронутых устройствах, работающих под управлением Windows 10 22H2, выводилась ошибка «Something happened on our end» в разделе «Загрузки» Microsoft Store.
«Если вы системный администратор и пытаетесь управлять приложениями через PowerShell с помощью команды “Get-AppxPackage“, система может выдать вам ошибку “Deployment failed with HRESULT: 0x80073CFA“», — объясняет Microsoft.
«Вы также можете столкнуться с проблемами обновления или переустановки Microsoft Teams и других сторонних приложений».
Корпорация пока отозвала проблемную версию WinAppSDK 1.6.2. Один из разработчиков Майк Кридер уточнил, что фикс стоит ждать с выходом WinAppSDK 1.6.3.
Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
