Перейти к содержанию

BlueNoroff обходит Mark-of-the-Web | Блог Касперского


Рекомендуемые сообщения

Когда пользователь пытается прочитать пришедший по электронной почте или скачанный с веб-сайта офисный документ, Microsoft Office открывает его в защищенном режиме. Это происходит благодаря одному из защитных механизмов операционной системы Windows — Mark-of-the-Web (MOTW). Он позволяет помечать файлы, появившиеся на компьютере из Интернета, так чтобы приложения знали об источнике их появления и могли обратить внимание пользователя на потенциальную опасность. Однако слепо полагаться на эффективность такого предупреждения не стоит — в последнее время многие злоумышленники начали использовать методы обхода MOTW. В частности, недавно наши эксперты обнаружили среди инструментов группировки BlueNoroff (которая, предположительно, является частью группы Lazarus) уловки, позволяющие обмануть операционную систему.

Как BlueNoroff обходит механизм MOTW

Механизм Mark-of-the-Web работает следующим образом. Как только пользователь (или программа) скачивает файл из глобальной Сети, файловая система NTFS проставляет у него атрибут «из Интернета». Наследуется этот атрибут не всегда. В наиболее очевидных случаях — например, если документ был скачан внутри архива — атрибут сохраняется. Но архив — это далеко не единственный способ передать офисный файл.

Злоумышленники, стоящие за атакой BlueNoroff, начали экспериментировать с использованием новых типов файлов для доставки вредоносных документов. Один из вариантов — формат .iso, часто используемый для хранения образов оптических дисков. Другой — файл формата .vhd, в котором обычно содержится виртуальный жесткий диск. А уже внутри образа или виртуального накопителя находится «полезная нагрузка» — документ-приманка и вредоносный скрипт.

Более подробное техническое описание инструментов и методов BlueNoroff, а также индикаторы компрометации можно найти в посте наших экспертов на сайте Securelist.

 

View the full article

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • KL FC Bot
      От KL FC Bot
      Мы ежедневно трудимся, чтобы наши продукты и решения оставались одними из лучших — как по нашему собственному мнению, так и по версии независимых исследователей. Делаем это всесторонне: добавляем новые фичи, боремся с новыми вредоносными программами, облегчаем миграцию и всячески улучшаем пользовательский опыт.
      Сегодня расскажем о большом обновлении Kaspersky Password Manager для мобильных устройств, которое, уверены, сделает хранение и управление паролями, кодами двухфакторной аутентификации и шифрованными документами еще удобнее. Во всех магазинах приложений это обновление появится в течение ноября 2024 года. О продвинутой фильтрации, работе поиска, синхронизации и многом другом — в этом материале.
      Коротко о главном
      Мобильной версии нашего менеджера паролей в этом году исполняется 10 лет (а версии для компьютеров — и все 15), и за это время нам удалось собрать лучшие практики в одном приложении. Несколько последних лет мы проводили исследования, в которых изучали шаблоны поведения пользователей Kaspersky Password Manager, и на их основе глобально поменяли навигацию в мобильных версиях менеджера паролей.
      Что нового:
      Заменили боковое меню с основными функциями продукта на навигационную панель, теперь все функции распределены по разделам. Создали отдельный раздел для поиска внутри приложения и улучшили сценарии его работы. Сделали работу с избранными записями еще удобнее, теперь они закрепляются в самом верху списка записей. Создали и вывели кнопку раздела «Синхронизация» на видное место. Сгруппировали генератор, импорт и проверку паролей в отдельный раздел «Инструменты». Изменения доступны всем пользователям Kaspersky Password Manager для Android (версии приложения 9.2.106 и выше) и iOS (версии приложения 9.2.92 и выше).
       
      View the full article
    • KondratSern
      От KondratSern
      Добрый день, возникла проблема с обновление KESL 11.2 до 12.1 через веб-консоль, сделал отдельную задачу на удаление 11.2, задача выполняется успешно но удаляется только gui оболочка. Задача на установку 12.1 завершается с ошибкой т.к. 11.2 не удалена, В ошибке написано "стереть пропущено" но и при создании задачи на установку не нашел пункта чтоб удалить предыдущую версию
       
      Kaspersky Endpoint Security 12.1 для Linux (Русский) (12.1.0.1297): Удаленная установка на устройстве завершена с ошибкой: Не удалось установить приложение INSTALL LOG: /var/log/kaspersky/klnagent/8386f636-7a34-4029-aa11-2c8ae26518d2
      FATAL ERROR: 'apt-get -y install ./kesl-12.1.0-1297.x86_64.rpm' failed! \nDetails:\nошибка: %prein(kesl-12.1.0-1297.x86_64) scriptlet failed, exit status 1
      ошибка: kesl-12.1.0-1297.x86_64: установить failed
      ошибка: kesl-11.2.2-5324.x86_64: стереть пропущено
      E: Произошли ошибки при выполнении транзакции
      [2024/11/14 09:39:10] 'apt-get -y install ./kesl-12.1.0-1297.x86_64.rpm' failed!
    • KL FC Bot
      От KL FC Bot
      Плохие новости для компаний, использующих сайты на базе WordPress с механизмом двухфакторной аутентификации, реализованным через плагин Really Simple Security. Недавно обнаруженная в этом плагине уязвимость CVE-2024-10924 позволяет постороннему человеку аутентифицироваться на сайте под видом легитимного пользователя. Поэтому плагин рекомендуется обновить как можно быстрее.
      Чем опасна уязвимость CVE-2024-10924
      Как бы иронично это ни звучало, но уязвимость CVE-2024-10924 в плагине с названием Really Simple Security имеет CVSS-рейтинг 9.8 и классифицируется как критическая. По сути это ошибка в механизме аутентификации, из-за которой атакующий может залогиниться на сайте как любой из зарегистрированных на нем пользователей, с полными его правами (даже админскими). В результате это может привести к перехвату контроля над сайтом.
      На GitHub уже появились доказательства возможности эксплуатации этой уязвимости. Более того, судя по всему, ее применение можно автоматизировать. Исследователи из Wordfence, обнаружившие CVE-2024-10924, назвали ее самой опасной уязвимостью, обнаруженной ими за 12 лет работы в сфере безопасности WordPress.
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Серьезные ИБ-инциденты порой затрагивают многих участников, зачастую и тех, кто повседневно не занимается вопросами ИТ и ИБ. Понятно, что в первую очередь усилия сосредоточиваются на выявлении, сдерживании и восстановлении, но, когда пыль немного осядет, наступает время для еще одного важного этапа реагирования — извлечения уроков. Чему можно научиться по итогам инцидента? Как улучшить шансы на успешное отражение подобных атак в будущем? На эти вопросы очень полезно ответить, даже если инцидент не принес существенного ущерба из-за эффективного реагирования или просто удачного стечения обстоятельств.
      Немного о людях
      Разбор инцидента важен для всей организации, поэтому к нему обязательно привлекать не только команды ИТ и ИБ, но также высшее руководство, бизнес-владельцев ИТ-систем, а также подрядчиков, если они были затронуты инцидентом или привлекались к реагированию. На встречах этой рабочей группы нужно создать продуктивную атмосферу: важно донести, что это не поиск виноватых (хотя ошибки будут обсуждаться), поэтому перекладывание ответственности и манипулирование информацией исказят картину, повредят анализу и ухудшат позицию организации в долгосрочной перспективе.
      Еще один важный момент: многие компании скрывают детали инцидента в страхе за репутацию или опасаясь повторной кибератаки по тому же сценарию. И хотя это вполне объяснимо и некоторые подробности действительно конфиденциальны, нужно стремиться к максимальной прозрачности в реагировании и делиться подробностями атаки и реагирования если не с широкой публикой, то как минимум с узким кругом коллег из сферы ИБ, которые могут предотвратить похожие атаки на свои организации.
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Игра Battle City, более известная как танчики, — символ давно ушедшей эпохи. Около 30 лет назад геймеры вставляли картридж в приставку, садились за пузатые телевизоры и пачками уничтожали вражеские танки до тех пор, пока кто-нибудь им не скажет про «кинескоп, который вот-вот должен сесть».
      Сегодня мир совсем другой, а танчики по-прежнему популярны. Дело в том, что современные аналоги предлагают геймерам не только поиграть, но и заработать NFT-токены. Злоумышленники тоже кое-что предлагают: сложную атаку для любителей криптовалютных игр.
      Бэкдор и эксплойт уязвимости нулевого дня в Google Chrome
      Эта история началась в феврале 2024 года, когда наше защитное решение обнаружило проникновение бэкдора Manuscrypt на компьютер пользователя из России. Такой бэкдор нам давно известен, его различные версии используют члены группировки APT Lazarus как минимум с 2013 года. Но что особенного в этой истории, если мы прекрасно знаем основной инструмент и методы работы злоумышленников?
      Дело в том, что эти хакеры обычно нацелены на крупные организации: банки, IT-компании, университеты и даже правительственные организации. Теперь руки Lazarus дотянулись до физических лиц — бэкдор на компьютере частного пользователя! Киберпреступники заманили жертву на сайт игры и получили полный доступ к ее компьютеру. Злоумышленникам удалось это сделать благодаря трем составляющим:
      невероятному желанию жертвы сыграть в любимые танчики в новой оболочке; уязвимости нулевого дня в Google Chrome; наличию эксплойта, позволявшего удаленно выполнить код в процессе Google Chrome. Для тех, кто переживает: компания Google выпустила обновление браузера, заблокировала сайт танчиков и поблагодарила исследователей безопасности «Лаборатории Касперского». Но на всякий случай: наши продукты детектируют и бэкдор Manuscrypt, и эксплойт. Подробности этой истории мы раскрыли в блоге Securelist.
       
      View the full article
×
×
  • Создать...