Набор эксплойтов RIG жив и доставляет RedLine через баг Internet Explorer

Набор эксплойтов RIG жив и доставляет RedLine через баг Internet Explorer

Набор эксплойтов RIG жив и доставляет RedLine через баг Internet Explorer

Исследователи из Bitdefender обнаружили новую кампанию киберпреступников, использующих набор эксплойтов RIG для распространения знаменитого вредоноса RedLine, задача которого — красть данные жертвы и передавать их операторам.

Интересно, что наборы эксплойтов вроде RIG, пользовавшиеся ранее приличной популярностью, на сегодняшний день всё больше отходят в тень. А всё благодаря усовершенствованным механизмам защиты браузеров и отказ от «дырявых» технологий вроде Flash Player и Microsoft Sillverlight.

Тем не менее использующие наборы эксплойтов злоумышленники всё ещё могут пробить отдельных пользователей, которые привыкли не обновлять браузер. Например, в описанной Bitdefender кампании RIG доставляет инфостилера с помощью эксплуатации бага в Internet Explorer.

Речь идёт об уязвимости под идентификатором CVE-2021-26411, которая приводит к повреждению памяти при просмотре специально созданного веб-сайта. Если пользователя заманить на такой ресурс, в его систему установится зловред RedLine.

Окопавшись в системе, RedLine собирает и отправляет операторам конфиденциальную информацию: ключи от криптокошельков, данные банковских карт, а также логины и пароли, сохранённые в браузерах.

Согласно отчёту исследователей из Bitdefender, эксплойт сначала сбрасывает в систему файл JavaScript (помещается во временную директорию), который уже после этого загружает и запускает зашифрованный RC4 пейлоад.

Распаковка RedLine представляет собой шестиступенчатый процесс, состоящий из декомпрессии, извлечения ключей, сборки и т. п. В результате файлам в формате DLL удаётся успешно избежать детектирования антивирусными средствами.

К командному серверу по адресу 185.215.113.121 вредонос подключается по порту 15386. Туда же отправляются данные, собранные из VPN - и FTP-клиентов, Discord, Telegram, Steam и криптокошельков.

Кстати, в прошлом месяце стало известно о том, что на YouTube раздают инфостилера RedLine — под видом чита для Valorant. А уже в этом месяце мы писали о Windows-инфостилере, который стал улучшенной версией RedLine.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Microsoft чинит препятствия установке Win11 на компьютеры без TPM 2.0

Из руководства Microsoft по установке Windows 11 исчезла подсказка для владельцев компьютеров без поддержки TPM 2.0. Утилиту Flyby11, помогающую обойти это требование, Microsoft Defender теперь блокирует как вредоносную.

В октябре Windows 10 будет снята с поддержки, и пользователям придется волей-неволей перейти на версию 11, а возможно, еще и купить новый компьютер, чтобы она встала и работала без проблем.

Минимальные системные требования для Windows 11 предусматривают наличие быстродействующего (1 ГГц и выше) многоядерного CPU и модуля TPM 2.0. Если проверка покажет несоответствие, установка блокируется.

 

Техногигант не рекомендует производить апгрейд на неподдерживаемой аппаратуре, однако до недавних пор в руководстве такая возможность упоминалась — через внесение изменений в системный реестр. При этом даже были указаны значения ключей.

Чтобы не потворствовать обходу проверок на соответствие, Microsoft удалила этот блок с сайта техподдержки, однако подсказку успел подхватить автор opensource-приложения Flyby11, специально созданного в помощь желающим снять ограничения. В отместку Defender стал воспринимать утилиту как угрозу безопасности.

За минувший год присутствие Windows 11 на десктопах заметно увеличилось, однако пользователи не спешат расставаться с Win 10: ее доля все еще превышает 60%.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru