Хакеры используют новый конструктор вредоносных документов в кибератаках

Хакеры используют новый конструктор вредоносных документов в кибератаках

Хакеры используют новый конструктор вредоносных документов в кибератаках

Распространители зловредов взяли не вооружение конструктор вредоносных документов EtterSilent. Созданные с его помощью файлы-ловушки раздаются в виде вложений в спам и пока плохо детектируются антивирусами из коллекции VirusTotal.

Новый инструмент для проведения email-атак продвигается на хакерских форумах как минимум с середины прошлого года. Согласно рекламе, его использование помогает эффективно обходить Windows Defender, Windows AMSI (Antimalware Scan Interface) и защитные фильтры популярных email-сервисов, включая Gmail.

Проведенное в Intel 471 исследование показало, что EtterSilent позволяет создавать поддельные документы Microsoft Office двух видов — с эксплойтом либо вредоносным макросом. Из эксплойтов в арсенале билдера числятся CVE-2017-8570, CVE-2017-11882 и CVE-2018-0802, использование которых бессмысленно на Windows с новейшей версией Office.

Как правило, авторы email-атак отдают предпочтение варианту с вредоносным макросом, так как он совместим с любой версией Microsoft Office, поддерживаемой EtterSilent (с 2007 по 2019). Потенциальную жертву нужно лишь убедить активировать соответствующую функцию.

Такие документы пока распространяются от имени DocuSign или DigiCert. Примечательно, что в данном случае используется XML-макрос Excel 4.0, а не VBA, как в большинстве других аналогов.

 

На настоящий момент признаки использования EtterSilent замечены в email-рассылках, нацеленных на распространение Trickbot, BazarLoader, а также банковских троянов IcedID/BokBot, QakBot/QBot и Ursnif, он же Rovnix, Gozi и Papras.

Билдеры вредоносных документов Microsoft Office, облегчающие задачу злоумышленникам, создавались и ранее — достаточно вспомнить Rubella трехлетней давности. Использование таких инструментов оправдывает себя до тех пор, пока не накопится база сигнатур созданных с их помощью фальшивок. Так, неделю назад результаты применения EtterSilent, со слов BleepingComputer, различали лишь несколько антивирусных сканеров из набора VirusTotal, а теперь их детектирует треть, а то и половина.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Дональд Трамп помиловал создателя теневого маркетплейса Silk Road

Новоиспеченный президент США подарил свободу Россу Ульбрихту (Ross William Ulbricht). Тот был обречен на пожизненное заключение за создание даркнет-площадки Silk Road, на которой торговали наркотиками, оружием и другими противозаконными товарами.

Решение о помиловании было принято «в знак уважения к матери Ульбрихта и либертарианскому сообществу», оказавшему поддержку Дональду Трампу. Суровое наказание, назначенное основателю и оператору Silk Road, президент счел чрезмерным.

Ульбрихт и сам был участником Либертарианского движения и в 2011 году создал торговую площадку в сети Tor в качестве эксперимента. Однако Silk Road быстро набрала популярность и превратилась в настоящий маркетплейс с оборотом до $200 миллионов.

По оценкам, ежемесячная сумма сделок, заключаемых на сайте, составляла около $1,22 млн., и с каждой успешной покупки Ульбрихт брал от 8 до 15% комиссии. При аресте у него изъяли около $3,6 млн в биткоинах, а позднее ФБР обнаружило два криптокошелька, на которых скопились более внушительные суммы.

В 2015 году суд приговорил создателя Silk Road к пожизненному заключению без права на условно-досрочное освобождение, и с тех пор либертарианцы не жалели усилий, чтобы добиться смягчения наказания. С возвращением Трампа к власти их самые смелые чаяния сбылись.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru