Ботнет Emotet вновь решил подрасти — зафиксирован новый всплеск аттач-спама

Ботнет Emotet вновь решил подрасти — зафиксирован новый всплеск аттач-спама

Ботнет Emotet вновь решил подрасти — зафиксирован новый всплеск аттач-спама

Эксперты предупреждают о новых вредоносных рассылках с ботнета Emotet. Одноименный троян, загружаемый при открытии вложения, не приводит с собой дополнительных зловредов — видимо, целью имейл-кампании является наращивание потенциала бот-сети.

Согласно наблюдениям Cryptolaemus , рассылка спама, нацеленного на дальнейшее распространение Emotet, стартовала в восемь утра 2 ноября UTC (около 11 утра по Москве). Вредоносные письма содержат вложение — документ XLS или запароленный архив с XLS-файлом.

Злоумышленники имитируют продолжение переписки, украденной трояном, и щедро раздают поддельные инвойсы, сканы, электронные формы и т. п. Анализ образцов вложений, загруженных на VirusTotal, выявил множество вариантов имени файла и разнообразие используемых языков — в основном европейских.

Текущая Emotet-кампания также использует новый шаблон вложения Excel: вредоносный документ содержит инструкции, согласно которым получатель должен скопировать файл в папку «Шаблоны» Microsoft Office и вызвать его оттуда. Такой трюк помогает обойти режим защищенного просмотра Microsoft, при котором блокируется исполнение макросов.

Дело в том, что при загрузке файлов из интернета Windows выставляет флаг MoTW, руководствуясь которым, Microsoft Office открывает документ в Protected View. Папки Templates считаются доверенными, и подобные ограничения на них не распространяются — даже если файл помечен MoTW. Копирование в эти папки возможно только с разрешения админа, и попытка вызовет системное предупреждение, но злоумышленники, видимо, надеются, что жертва нажмет кнопку «Продолжить».

 

При открытии вредоносного файла в полнофункциональном редакторе выполняется встроенный макрос, загружающий Emotet (KLyt.dll). Для сохранения в каталоге %UserProfile%\AppData\Local создается папка с произвольным именем, затем DLL запускается на исполнение с помощью regsvr32.exe.

Зловред работает в фоновом режиме, подключаясь к C2 для получения инструкций. На настоящий момент команд на загрузку дополнительных файлов не замечено.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

WhatsApp, Skype и еще 8 коммуникационных сервисов включены в реестр ОРИ

Роскомнадзор (РКН) внес в реестр организаторов распространения информации (ОРИ) 10 коммуникационных сервисов, среди которых WhatsApp (принадлежит корпорации Meta, признанной экстремистской организацией и запрещенной в России), Skype, Wire, Element, KakaoTalk, DUST, Keybase, Trillian, Status и Crypviser.

При этом WhatsApp получил соответствующий статус принудительно. Роскомнадзор воспользовался своим правом вносить различные сервисы и платформы, которые формально удовлетворяют требованиям к организаторам распространения информации.

Сам термин ОРИ появился в июне 2018 года в рамках так называемых «законов Яровой». Сервисы, которые входят в реестр ОРИ, обязаны хранить данные пользователей (переписки, аудио- и видеосообщения) и предоставлять их по запросу спецслужб и правоохранительных органов. Несоблюдение данных требований влечет крупные штрафы (до 6 млн рублей) и блокировку.

«Да, WhatsApp принудительно внесли в реестр ОРИ. Сервисы, которые де-факто являются организаторами распространения информации, в соответствии с российским законодательством признаются таковыми де-юре и включаются в реестр ОРИ на территории РФ», — так ответили в пресс-службе регулятора в ответ на запрос «Интерфакса».

Партнер практики интеллектуальной собственности Comply Максим Али в комментарии для русского издания Forbes обратил внимание на риски для пользователей WhatsApp и Skype.

Их владельцы последовательно придерживаются санкционного режима, и шансов, что они будут подключаться к Системе оперативно-разыскных мероприятий и выполнять технические требования ФСБ, почти нет. Вопрос, будут ли они заблокированы, остается открытым.

Претензии к WhatsApp выдвигались и раньше.

«В адрес администрации WhatsApp не раз направлялись требования, в частности пресекать распространение призывов к участию в экстремистских акциях, но никаких реакций не последовало. Чаты, в которых распространяется эта информация, продолжают множиться», — заявил депутат Госдумы Антон Немкин, комментируя в пресс-центре Парламентской Газеты замедление сервиса в ряде северокавказских регионов летом.

Блокировка Viber 13 декабря была вызвана в том числе несоблюдением требований к ОРИ. Как подчеркнул Герман Клименко в комментарии для РБК, данные действия стали предупредительным выстрелом для всех мессенджеров, включая WhatsApp и Telegram.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru