PostScript используется в атаках с вредоносными вложениями

PostScript используется в атаках с вредоносными вложениями

PostScript используется в атаках с вредоносными вложениями

Hangul Word Processor (HWP) - приложение для обработки текстов, довольно популярное в Южной Корее. В его возможности входит запуск кода PostScript, первоначально используемого для печати и публикации. Поскольку PostScript является полноценным языком программирования, теперь он используется злоумышленниками в атаках с вредоносными вложениями.

Исследователи выяснили, что старые версии HWP ненадлежащим образом реализуют ограничения, накладываемые на PostScript. Соответственно появились вредоносные вложения, содержащие код PostScript.

Цель такой хакерской атаки - использовать PostScript, чтобы загрузить вредоносную программу на компьютер жертвы. Потребность в эксплойте отпадает, так как в этом случае используется функция PostScript.

Письма, используемые в этих атаках, имеют упоминания биткойнов и финансовой безопасности, чтобы убедить жертву открыть документ.

PostScript не имеет возможности выполнять shell-команды, однако может манипулировать файлами. В ходе атаки PostScript переносит файлы в различные папки автозагрузки и ждет, когда пользователь перезагрузит компьютер. Вот несколько сценариев развития событий:

  1. Скрипт копирует ярлык в папку автозагрузки, который затем запускает файл MSHTA.exe для выполнения Javascript.
  2. Копирует ярлык в папку автозагрузки и DLL-файл в папку %Temp%. Ярлык вызывает rundll32.exe для выполнения этого DLL-файла.
  3. Копирует исполняемый файл в папку автозагрузки.

Один из полученных экспертами образцов перезаписывает файл gswin32c.exe легитимной версией Calc.exe. Этот файл является интерпретатором PostScript, используемым HWP. Поскольку интерпретатор перезаписан, это предотвратит выполнение другого встроенного PostScript.

Более поздние версии Hangul Word Processor (вышедшие в 2014 году и позже) корректно реализуют функцию и избавлены от подобного бага. Пользователям рекомендуется перейти на эти версии.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Mozilla меняет курс: Firefox теперь собирает пользовательские данные

Mozilla Foundation решила пересмотреть свои источники дохода и направить Firefox в сторону рекламной модели монетизации. К сожалению, новая политика коснётся пользовательских данных.

В официальном блоге Mozilla приводятся правила, согласно которым «лиса» теперь будет собирать загружаемые пользователями файлы, а также вводимую ими информацию.

«В случае, если вы загружаете или вводите данные с помощью Firefox, вы автоматически предоставляете нам безвозмездную лицензию на использование этой информации», — пишет корпорация.

При этом Mozilla не говорит прямо, что собранные сведения будут использоваться в рекламных целях, однако у пользователей нет возможности отключить эту функциональность.

Положим, вы — музыкант, загружающий свою песню на какой-либо веб-сайт через Firefox. В этом случае, согласно новым правилам, вы передаёте Mozilla право на использование этой музыкальной композиции.

Помимо этого, разработчики «лисы» заявили, что браузер отныне будет собирать уникальные идентификаторы для последующего использования в рекламных целях.

С другой стороны, импонирует позиция Mozilla по поводу поддержки блокировщиков рекламы на Manifest V2. Как мы писали на днях, пользователи Firefox смогут использовать любимые расширения, не опасаясь перехода на Manifest V3.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru