Обнаружен майнер WannaMine — новый преемник нашумевшего WannaCry

Обнаружен майнер WannaMine — новый преемник нашумевшего WannaCry

Обнаружен майнер WannaMine — новый преемник нашумевшего WannaCry

Эксперты в области безопасности сообщили о появлении нового преемника WannaCry, WannaMine представляет собой майнер криптовалюты, использующий процессоры пользователей для добычи цифровой валюты.

В заражении пользователей WannaMine также принимает участие печально известный эксплойт АНБ EternalBlue, ставший доступным широкому кругу лиц. Схемы попадания вредоносной программы на компьютер разнообразны — от перехода по вредоносной ссылке до целевой удаленной атаки.

Сначала вредонос пытается «пробить» защиту компьютера с помощью инструмента Mimikatz, если он не может осуществить это, в ход идет EternalBlue. После установки в системе зловред скрытно майнит криптовалюту за счет ресурсов компьютера жертвы.

«Если раньше EternalBlue использовался только хакерами государственного уровня, теперь он становится более распространенным и появляется в вирусах обычных киберпреступников», — цитирует gazeta.ru директора по продуктам CrowdStrike Брайана Йорка.

Также господин Йорк уточнил, что WannaMine, попав в корпоративную сеть, может остановить работу компании на несколько дней или даже недель. Специалисты отмечают рост количества зараженных WannaMine компьютеров.

Детектировать его не так просто — вредонос не устанавливает дооплнительные вредоносные приложения на компьютер, пользуясь только стандартными инструментами Windows.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Lazarus пробует протащить трояна в macOS с помощью скрытых метаданных

Исследователи из Group-IB нашли в интернете несколько образцов неизвестного ранее трояна, внедряемого в macOS необычным способом. Для скрытной доставки зловреда, нареченного RustyAttr, используются расширенные атрибуты файлов (EA).

Эти дополнительные метаданные напрямую не отыщешь в приложении «Терминал» или файловом менеджере Finder. Для их просмотра, редактирования и удаления обычно используется команда xattr.

Обнаруженная экспертами вредоносная программа создана с использованием фреймворка Tauri и подписана слитым сертификатом разработчика (Apple его уже отозвала). При запуске она загружает в WebView страницу с JavaScript, который извлекает шелл-код, спрятанный в EA с именем «test», и запускает его на исполнение.

 

Для отвода глаз жертве отображается стянутый с файлообменника документ PDF или поддельное диалоговое окно с сообщением об ошибке.

 

По словам экспертов, принятые меры против обнаружения оправдали себя: на момент проведения анализа RustyAttr не смог задетектировать ни один антивирус из коллекции VirusTotal.

Конечная цель таких атак неясна, так как сведений о жертвах нет. Зафиксирована попытка загрузки дополнительного пейлоада с хоста, ассоциированного с ИТ-инфраструктурой Lazarus, однако целевой сервер оказался вне доступа.

Защиту от подобных зловредов способен обеспечить Gatekeeper. Чтобы обойти это препятствие, автору атаки придется взаимодействовать с пользователем macOS и, применив социальную инженерию, заставить его отключить верного охранника.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru