Управляемый китайским агентством маркетинга Rafotech, зловред Fireball был разработан для шпионажа за пользователями посредством браузера, однако он также способен запускать код на скомпрометированных машинах. Следовательно, Fireball может быть использован для загрузки других вредоносных программ на зараженную машину, а также он позволяет злоумышленникам манипулировать интернет-трафиком жертвы для получения дохода от рекламы.
Fireball был обнаружен экспертами Check Point, которые полагали, что Fireball атаковал 20% всех корпоративных сетей и угрожает более чем 250 миллионам компьютеров по всему миру.
Однако Microsoft утверждает, что эти цифры значительно преувеличены. Более того, компания заявляет, что следит за Fireball с 2015 года.
«Наша команда следит за активностью Fireball с 2015 года. И мы можем заявить, что масштаб его атак значительно преувеличен» - Хэмиш О'Диа (Hamish O’Dea), исследователь Windows Defender.
Также эксперт утверждает, что Fireball связан с целым комплектом вредоносных программ, которые устанавливаются пользователем вместе с сомнительными приложениями (такими, например, как пиратские приложения, игры, музыка или видео, кряки или кейгены).
В комплект Fireball также входят легитимные программы, вредонос использует их для загрузки вредоносного кода и в попытках уйти от обнаружения. Весь этот комплект призван либо монетизировать рекламу, либо получить контроль над браузером и настройками домашней страницы.
Эксперт Microsoft подтверждает, что вредонос был разработан для получения контроля над настройками домашней страницы и поиска по умолчанию. Таким образом, каждый раз, когда жертва пользуется поиском, создатели зловреда получают доход.
Технологический гигант объясняет, что наиболее распространенными семействами вредоносных программ в пакете Fireball являются SupTab, Xadupi, Ghokswa и Sasquor.
Согласно Microsoft, Check Point ошибочно оценила масштабы распространения Fireball, поскольку она полагалась в подсчетах на количество посещений страниц поиска (некоторые из них были с вполне чистых компьютеров) и на анализ данных рейтинга Alexa.
«Check Point оценила масштабы распространения на основе анализа данных Alexa, однако данные Alexa основаны на обычном просмотре веб-страниц. Они не являются трафиком, создаваемым именно вредоносными программами» - отмечает О'Дей.
Microsoft, в свою очередь, ориентировалась на информацию, полученную от 300 миллионов клиентов Windows Defender с 2015 года. В частности, компания заявила, что средству удаления вредоносных программ (MSRT) удалось обезвредить SupTab 4 920 456 раз, Xadupi 3 373 023 раза, Ghokswa 1 503 968 раз и Saquor 1 287 297 раз.
«Мы связались с Check Point и попросили их более внимательно изучить данные» - добавляет О'Дей.
подробно описан в начале этого месяца, не оказал настолько сильного вредоносного воздействия, как сообщалось ранее.
C 12 ноября ряд пользователей Windows 10 столкнулись с проблемой обновления и деинсталляции пакетных приложений вроде Microsoft Teams. Microsoft подтвердила наличие бага и отозвала обновление WinAppSDK.
Судя по всему, проблема вызвана пакетом WinAppSDK версии 1.6.2, которая автоматом установилась в системы пользователей после инсталляции приложения, разработанного с использованием Win App SDK.
На затронутых устройствах, работающих под управлением Windows 10 22H2, выводилась ошибка «Something happened on our end» в разделе «Загрузки» Microsoft Store.
«Если вы системный администратор и пытаетесь управлять приложениями через PowerShell с помощью команды “Get-AppxPackage“, система может выдать вам ошибку “Deployment failed with HRESULT: 0x80073CFA“», — объясняет Microsoft.
«Вы также можете столкнуться с проблемами обновления или переустановки Microsoft Teams и других сторонних приложений».
Корпорация пока отозвала проблемную версию WinAppSDK 1.6.2. Один из разработчиков Майк Кридер уточнил, что фикс стоит ждать с выходом WinAppSDK 1.6.3.
Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
