Notepad++ мог скачать малварь через апдейтер 😱

Разработчики Notepad++ экстренно выкатили версию 8.8.9, выяснилось, что механизм автообновления редактора (тот самый GUP.exe) годами толком не проверял подлинность скачиваемых файлов. Этим воспользовались хацкеры, которые начали перехватывать трафик апдейтера и подсовывать пользователям вместо новой версии редактора троян.

Апдейтер стучится за обновлением, но из-за отсутствия нормальной криптографической проверки перенаправляется на вредоносный сервер. В итоге в папку %TEMP% прилетает файл AutoUpdater.exe, который вместо патча начинает активно собирать инфу о системе... запускает netstat, systeminfo, tasklist и whoami. Собранные данные потом сливаются на публичный файлообменник temp.sh через системный curl.

В новой версии 8.8.9 наконец-то прикрутили жесткую проверку цифровой подписи установщика, так что теперь, если подпись не сойдется, обновление прервется.

Типичный 🥸 Сисадмин

Типичный 💾 Сисадмин

Тот неловкий момент 😬

Типичный 🥸 Сисадмин

Zabbix присылает алерт Power_Loss вместо Interface_Down после твоих кривых рук. Счастье есть 👨‍🦳

Типичный 🥸 Сисадмин

#предложка
Гигантский леденец, который провайдер приготовил для своих абонов на Новый год.

Типичный 🥸 Сисадмин

Когда всю жизнь работал матросом и вязал морские узлы, а потом пошел тянуть опту, создавая такие аппаратные шейперы трафика 👨‍🔬

Типичный 🥸 Сисадмин

🎅 SantaStealer стучится в порты...

Пока рядовые юзеры закупают мандарины, режут оливье и готовятся к корпоративам, вирусописатели выкатили праздничный релиз. В дикой природе обнаружен SantaStealer, который нацелен на тех, кто верит в халяву под Новый год. Распространяется эта радость через фишинговые рассылки под видом подарочных сертификатов, уведомлений о скидках или конкурсов. Расчет сделан идеально... расслабленный предпраздничной суетой офисный планктон кликнет на любой файл, если в теме письма ему несказанно повезло.

Зловред написан на C++, весит копейки и не имеет лишних зависимостей, что делает его эффективным при доставке через классический фишинг 🐑

Техническая мякотка начинается с механизма эксфильтрации. SantaStealer обчищает хранилища учетных данных, используя легитимные вызовы API для взаимодействия с базами данных SQLite, в которых браузеры хранят пароли и куки. Помимо стандартного набора (пароли, автозаполнение, кредитки), стилер охотится за расширениями криптокошельков и игровыми аккаунтами. Особенность архитектуры в том, что он не просто дампит файлы, а проводит предварительную сортировку данных на машине жертвы, упаковывает ценное в зашифрованный архив и отправляет оператору. В качестве командного центра (C2) выступает связка из веб-панели и бота в телеге (очевидный тренд на телегу).

Интересен подход к закреплению в системе и защите от песочниц. Перед началом работы SantaStealer проводит серию проверок... чекает наличие отладчиков, виртуальных сред и специфических имен процессов, характерных для лабораторий вирусных аналитиков. Если малварь понимает, что попала на виртуалку, она тихо самоуничтожается, не выдавая своей активности. Для обхода сетевых экранов используется маскировка трафика под обычные HTTPS-запросы к легитимным облачным сервисам 😱

Для тех, кто держит оборону, рекомендуется мониторить аномальную активность процессов, пытающихся получить доступ к папкам %AppData%\Local\Google\Chrome\User Data и аналогичным путям других браузеров. Также стоит обратить внимание на внезапные попытки системных утилит (например, curl или powershell) достучаться до незнакомых внешних IP по порту 443 сразу после открытия подозрительных вложений. Разумная паранойя и жесткие политики безопасности не повредят.

Типичный 🎄 Сисадмин

Сила SOCKS-прокси велика в этом протоколе. Любой фаервол бессилен перед инкапсуляцией 🪄

Типичный 🎄 Сисадмин

Моя прелесть...
Это, конечно, Registered ECC и в домашний комп не встанет, но ради такой коробки я готов собрать дома серверную стойку с нуля 🥂

Типичный 🎄 Сисадмин

А какой RAID уровень выбрать для этого? 🤔

Типичный 🎄 Сисадмин

10 минут это было не ожидание. Это прелюдия.

➡️@itmemas

Лишняя буква в названии пакета NuGet пять лет крала криптокошельки 💰

Вредоносный пакет Tracer.Fody.NLog в экосистеме .NET несколько лет маскировался под популярную библиотеку трассировки Tracer.Fody. Он набрал около двух тысяч загрузок и крал данные кошельков криптовалюты Stratis. Поддельный пакет отличался от оригинала лишь одной буквой в имени учётной записи издателя (csnemess вместо csnemes), а в коде использовались кириллические символы, визуально неотличимые от латинских, что затрудняло даже ручную проверку.

После подключения к проекту пакет незаметно встраивался в универсальный метод проверки аргументов. Как только в приложении появлялся объект с WalletPassword, то запускался фоновый процесс, который сканировал папки Stratis, находил файлы .wallet.json, извлекал их содержимое вместе с паролем и отправлял на сервер злоумышленников. Все ошибки подавлялись, поэтому работа приложения не нарушалась.

В 2023 году та же инфраструктура использовалась для пакета Cleary.AsyncExtensions, который выдавал себя за разработки известного автора Стивена Клири и крал мнемонические фразы криптокошельков. Получается, что это системная кампания, и нацелена она на цепочки поставок .NET через подмену доверенных служебных библиотек.

Типичный 🥸 Сисадмин