Обнаружена кроссплатформенная атака через зараженные RTF-документы

Обнаружена кроссплатформенная атака через зараженные RTF-документы

Обнаружена кроссплатформенная атака через зараженные RTF-документы

Эксперты из Trend Micro обнаружили спам-кампании вредоносных программ. Злоумышленники распространяли бэкдоры XTRAT и DUNIHI, а также вредоносную программу для сбора информации Loki, объединенную с Adwind RAT. Рост спам-рассылок эксперты наблюдали с 1 января по 17-е апреля 2017 года.

Эксперты Trend Micro определили две рассылки с разным набором вредоносных программ. В первой злоумышленники рассылали бэкдоры Adwind RAT, XTRAT вместе со шпионской программой Loki. Во втором сценарии спам-рассылки эксперты заметили использование VBScript с бэкдором DUNIHI. Обе спам-кампании использовали динамический DNS сервер “hopto[.]org”. В качестве контейнера для инфекции злоумышленники выбрали документ RTF, который использовал уязвимость CVE-2017-11882 для доставки Adwind, XTRAT и Loki.

После того как пользователь открыл зараженный файл, происходит загрузка Loki с сайта "hxxp://steamer10theatre[.]org/wp-admin/js/ehe[.]exe". Затем Loki, как дроппер, загружает Adwind и XTRAT.

Загруженные файлы нарушают работу RAT (систему удаленного администрирования) с помощью таких возможностей бэкдора, как anti-AV и anti-VM, и получают контроль над зараженным устройством. Примечательно, что Adwind и XTRAT используют один C&C сервер: "junpio70[.]hopto[.]org".

Первый вариант рассылки соединяется с сервером "badnulls[.]hopto[.]org:3011", а рассылка с DUNIHI использует "pm2bitcoin[.]com:62103.

“Рассылка разных вариаций вредоносных программ похожа на уловку, которая должна повысить шансы заражения устройства. Если одна вредоносная программа обнаружена, другая может остаться незамеченной, и закончить начатое”. - сообщает Trend Micro в своем отчете.

Кроссплатформенный бэкдор Adwind написан в Java, и используется злоумышленниками с 2013 года. Он представлен в виде платного сервиса, где клиенты платят за заражение устройств. Это многофункциональная программа для кражи пользовательских данных, шпионажа и захвата контроля над устройствами. 

С 1 января по 17 апреля Trend Micro зафиксировали 5535 новых заражений Adwind, большая часть из которых случилась в США, Японии, Австралии, Италии, Тайвани, Германии и Великобритании.

Ранее мы написали о том, как уязвимость в Microsoft Outlook позволяет с помощью RTF документа получать пользовательские данные. 

 

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

ОС РОСА Мобайл получила сертификат ФСТЭК по 4-му уровню доверия

Мобильная операционная система РОСА Мобайл прошла сертификацию ФСТЭК России по 4-му уровню доверия. Данный сертификат подтверждает соответствие системы самым строгим требованиям безопасности и открывает устройствам на ее основе возможность использования на объектах с повышенными требованиями к защищенности.

Сертификат соответствия номер 4867 был внесен в государственный реестр системы сертификации средств защиты информации по требованиям безопасности информации 13 ноября 2024 года.

Сертификация означает, что ОС РОСА Мобайл полностью соответствует требованиям по безопасности, установленным в документах «Требования по безопасности информации, устанавливающие уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий» (ФСТЭК России, 2020) — по 4 уровню доверия, «Требования безопасности информации к операционным системам» (ФСТЭК России, 2016) и «Профиль защиты операционных систем типа А четвертого класса защиты. ИТ.ОС.А4.ПЗ (ФСТЭК России, 2017).

ОС РОСА Мобайл была изначально разработана с акцентом на безопасность и удобство использования. ОС является частью экосистемы от НТЦ РОСА наряду с системами для серверов и рабочих станций. Она используется в российском смартфоне Р-ФОН, ориентированном на корпоративных клиентов, компании с госучастием и госструктуры, которые предъявляют повышенные требования к безопасности и надежности используемых решений. Смартфон Р-ФОН был спроектирован компанией «Рутек» и производится в России на площадке «Технопарк-Мордовия».

Все системные драйверы для Р-ФОН разработаны инженерами АО «НТЦ ИТ РОСА», что позволяет избежать использования недекларируемых возможностей — скрытых участков кода, которые могут использоваться для несанкционированного доступа к данным. Важно отметить, что многие производители микрочипов предоставляют драйверы, содержащие закрытые участки кода (так называемые «блобы»). Такие компоненты представляют потенциальную угрозу для пользователей, так как могут передавать конфиденциальную информацию третьим лицам. В РОСА Мобайл такой риск полностью исключен.

«Сертификация ФСТЭК России по 4-м уровнем доверия — это значимый шаг для нашей компании. Мы продолжаем развивать экосистему РОСА, предлагая клиентам безопасные и современные решения, способные удовлетворить их потребности. РОСА Мобайл и смартфон Р-ФОН — это первый опыт полноценной интеграции, демонстрирующий, что отечественные технологии способны обеспечить безопасность на самом высоком уровне», — заявил Олег Карпицкий, генеральный директор АО «НТЦ ИТ РОСА».

4 декабря на площадке AM Live состоится конференция «Российские мобильные устройства». На ней участники рынка обсудят перспективы развития корпоративной мобильности в текущих условиях.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru