NEW BOT Телеграм, страница

Forwarded from SecAtor

SafeBreach обнаружили новый бэкдор PowerShell, который маскируется под процесс обновления Windows, оставаясь полностью незамеченным.

Причем при первом обнаружении бэкдор PowerShell не считался вредоносным ни одним поставщиком службы сканирования VirusTotal.

Бэкдор распространяется через вредоносные документы Word. Атака начинается с получения фишингового письма с прикрепленным вредоносным документом Apply Form.docm.

Судя по содержимому файла и метаданным, тема, скорее всего, соответствует заявлению о приеме на работу в LinkedIn.

После открытия документа код макроса сбрасывает скрипт updater.vbs на компьютере жертвы, который создает запланированную задачу, имитирующую обычное обновление Windows.

Затем сценарий VBS выполняет два сценария PowerShell, Script.ps1 и Temp.ps1, оба из которых хранятся внутри вредоносного документа в запутанной форме.

Script.ps1 подключается к серверам управления и контроля (C2) злоумышленника, отправляет идентификатор жертвы операторам, а затем ожидает команду, полученную в зашифрованном виде AES-256 CBC.

Скрипт Temp.ps1 декодирует команду в ответе, выполняет ее, а затем шифрует и загружает результат через POST-запрос на C2.

Аналитики обнаружили, что две трети команд предназначались для эксфильтрации данных, а остальные использовались для перечисления пользователей, списков файлов, удаления файлов и учетных записей и вычисления пользователей Active Directory.

По своим характеристикам вредоносное ПО предназначено для кибершпионажа, в основном для кражи данных из скомпрометированной системы.

При анализе двух скриптов исследователи компании обнаружили, что некоторые ошибки в коде могут позволяют определить потенциальное число жертв.

Один из скриптов, вероятно, был установлен более чем на 70 системах, а другой — более чем на 50.

Новый бэкдор PowerShell является характерным примером неизвестных скрытых угроз, используемых для атак на государственные, корпоративные и частные пользовательские системы.

SafeBreach опубликовала индикаторы компрометации (IoC), связанные с новым бэкдором PowerShell, и предупреждает о том, что его фактически невозможно обнаружить.

SafeBreach

SafeBreach Uncovers Fully Undetectable PowerShell Backdoor | New Research

SafeBreach Labs discovered a novel, fully undetectable PowerShell backdoor disguised as part of the Windows update process.

233 views09:56