С ботнета Emotet раздаются майнер и RAT-троян во вложенных SFX-архивах

С ботнета Emotet раздаются майнер и RAT-троян во вложенных SFX-архивах

С ботнета Emotet раздаются майнер и RAT-троян во вложенных SFX-архивах

Эксперты Trustwave SpiderLabs зафиксировали новую волну вредоносного спама, исходящего с ботнета Emotet. В качестве вложений злоумышленники используют составные самораспаковывающиеся архивы; целевая полезная нагрузка запаролена, но разблокировка и запуск участия пользователя не требуют, эти задачи выполняются автоматически с помощью bat-скрипта.

Поддельные письма предлагают получателю ознакомиться с новым счетом-фактурой, открыв прикрепленный файл ZIP или ISO. Как оказалось, вложение содержит архивный файл RAR SFX, в который заключен еще один самораспаковывающийся RAR, но уже под паролем.

 

Первый вложенный SFX для прикрытия использует иконку PDF или Excel и содержит три файла: контейнер полезной нагрузки (второй RAR SFX), запускающий его пакетный скрипт и маскировочный PDF-документ либо изображение. Все компоненты распаковываются в папку %AppData% с перезаписью существующих файлов, а затем запускаются на исполнение.

Установку полезной нагрузки, сокрытой во втором RAR SFX, обеспечивает командный файл (.bat), в котором определены пароль и папка для сохранения файла. Сценарий также запускает команду на отображение картинки-приманки.

 

В более новых образцах вредоносных вложений маскировочная графика и PDF отсутствуют, а запароленный RAR SFX распаковывается в папку %temp%, но атака проводится таким же образом — за один клик.

Вся исполняемая полезная нагрузка в рамках данной имейл-кампании скомпилирована с помощью .NET и использует opensource-обфускатор ConfuserEX. Исследователям удалось идентифицировать CoinMiner, умеющий воровать данные из браузеров и Microsoft Outlook, а также Quasar RAT — трояна с открытым исходным кодом, опубликованным на GitHub.

Последнее время в Trustwave наблюдают рост количества угроз, запакованных в ZIP под паролем. Порядка 96% из них распространяются посредством рассылок с ботнета Emotet.

«Группа Астра» вывела на рынок Clouden для управления облаками

«Группа Астра» объявила о выводе на рынок нового продукта Clouden — решения для централизованного управления гибридной и мультиоблачной инфраструктурой. Разработка построена на базе платформы BILLmanager Enterprise и расширяет её возможности за счёт работы с виртуализацией, физическими серверами и публичными облаками через единый интерфейс.

Clouden ориентирован на компании, которым приходится одновременно использовать собственные серверы, разные платформы виртуализации и несколько облачных провайдеров.

По задумке разработчиков, продукт должен упростить управление такой разнородной средой и свести её к одному «окну».

Платформа позволяет централизованно контролировать ресурсы, автоматизировать операции и выстраивать оркестрацию сервисов. За счёт этого процессы запроса и предоставления ИТ-услуг становятся более стандартизированными и менее зависят от ручной работы.

Как отметил генеральный директор ISPsystem (входит в «Группу Астра») Павел Гуральник, Clouden не пытается заменить существующие решения заказчика, а, наоборот, объединяет уже используемые технологии — от собственных серверов до российских и зарубежных облаков — в единую систему управления.

С точки зрения функциональности Clouden относится к классу CMP-решений (Cloud Management Platform). В него входят средства сквозной автоматизации, BI-аналитика для оценки и прогнозирования затрат, портал самообслуживания для пользователей и гибкая система тарификации.

Платформа включена в реестр Минцифры и рассчитана на использование в средних и крупных компаниях, государственных организациях, а также в структурах с распределённой филиальной сетью, где управление ИТ-инфраструктурой традиционно становится особенно сложной задачей.

Clouden стал очередным шагом «Группы Астра» в сторону инструментов, которые помогают управлять смешанными ИТ-ландшафтами без жёсткой привязки к одной экосистеме.

RSS: Новости на портале Anti-Malware.ru