Microsoft добавила в Sysmon детектирование внедрения в процессы Windows

Microsoft добавила в Sysmon детектирование внедрения в процессы Windows

Microsoft добавила в Sysmon детектирование внедрения в процессы Windows

Microsoft выпустила версию утилиты Sysmon под номером 13, которая отметилась интересной функцией для борьбы с действиями вредоносных программ. Теперь инструмент может выявлять несанкционированное внедрение в процессы операционной системы Windows.

Киберпреступники часто прибегают к инъекции вредоносного кода в легитимные процессы, что помогает им избежать детектирования антивирусными средствами. То есть по факту вредоносная программа выполняется, а в Диспетчере задач Windows мы видим стандартный процесс ОС.

Например, злоумышленники используют технику «process hollowing» («выдалбливание процесса»), подразумевающую, что вредонос запускает легитимный процесс, а затем подменяет безобидный код злонамеренным. Таким образом, код зловреда выполняется с полными правами процесса-родителя.

«Process herpaderping» — более сложный метод, с помощью которого вредоносная программа модифицирует свой образ на диске, маскирую его под легитимный софт. В этом случае антивирусные средства, сканируя диск, увидят лишь безопасный файл, хотя в память будет загружен вредоносный код.

Многие известные зловреды успешно используют технику внедрения в легитимные процессы. Среди них можно отметить программу-вымогатель Mailto/defray777, а также бэкдоры TrickBot и BazarBackdoor.

Для борьбы с этими методами Microsoft выпустила новую версию утилиты Sysmon, входящей в набор Sysinternals. Инструмент можно скачать со страницы Sysinternal или по прямой ссылке.

Чтобы активировать детектирование внедрения в процессы, администраторам нужно добавить опцию «ProcessTampering» в файл конфигурации:

<Sysmon schemaversion="4.50">
  <EventFiltering>
    <RuleGroup name="" groupRelation="or">
      <ProcessTampering onmatch="exclude">
      </ProcessTampering>
    </RuleGroup>
  </EventFiltering>
</Sysmon>
Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Курьеров находят первыми

Полиция арестовала в Алтайском крае курьера кибермошенников, который собирал деньги для аферистов, работающих по схеме «мама, я попал в аварию».

Молодой человек 2006 года рождения приходил к жертвам мошенников и собирал у них наличность, якобы для передачи детям или внукам, которые стали виновниками ДТП.

За 4 дня он собрал более 2,5 млн рублей у 11 потерпевших, в основном пенсионеров. Вознаграждение курьера составляло 5%. В целом же, как предупреждают сотрудники следственных органов, заработок курьеров не выше, чем доходы официально работающих.

Задержать злоумышленника, как сообщил телеграм-канал «Вестник киберполиции России», помог внук одной из потерпевших, который работает таксистом. Его бабушка стала жертвой такого мошенничества, он запомнил курьера и распространил его описание в группе, которой пользуются водители.

По этому описанию один из водителей узнал в одним из пассажиров злоумышленника и передал его полицейскому наряду. При себе у курьера находились 45 тыс. рублей и телефон, содержащий сведения о его причастности к обману пожилых людей, включая переписку с заказчиком.

Пособник мошенников стал фигурантом уголовных дел, возбуждённых по части 3 статьи 159 Уголовного кодекса Российской Федерации («Мошенничество»). Фигуранту избрана мера пресечения в виде заключения под стражу. Следствие продолжается.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru