-
Похожий контент
-
Автор KL FC Bot
Первый шаг на пути к успеху для киберпреступников при проведении почтовой атаки — добиться того, чтобы их письма попались на глаза потенциальным жертвам. Недавно мы уже рассказывали, как мошенники используют для этого уведомления от вполне легитимного сервиса для отправки больших файлов GetShared. Сегодня мы рассмотрим еще один вариант доставки вредоносных сообщений: в этой схеме злоумышленники научились добавлять свои сообщения в настоящие письма с благодарностью за оформление бизнес-подписки на Microsoft 365.
Вполне легитимное письмо от Microsoft с сюрпризом
Атака начинается с настоящего письма от Microsoft, в котором получателя благодарят за покупку подписки Microsoft 365 Apps for Business. Это письмо действительно отправляется с настоящего адреса компании microsoft-noreply@microsoft.com. Почтовый адрес с более надежной репутацией, чем этот, сложно себе представить, поэтому письмо без проблем проходит проверки любых почтовых сервисов.
Еще раз — само письмо абсолютно настоящее. Его содержание соответствует стандартному уведомлению о совершении покупки. В случае с письмом со скриншота ниже Microsoft благодарит получателя за оформление 55 подписок на бизнес-приложения Microsoft 365 на общую сумму $587,95.
Пример бизнес-уведомления от Microsoft, в котором злоумышленники вставили свое сообщение в разделе данных для выставления счета (Billing information)
View the full article
-
Автор KL FC Bot
Ransomware-группировка Interlock начала использовать технику ClickFix для проникновения в инфраструктуру своих жертв. В одном из недавних постов мы уже рассказывали об общей идее ClickFix, а сегодня поговорим о конкретном примере использования этой тактики одной из группировок. Исследователи кибербезопасности обнаружили, что Interlock использует поддельную CAPTCHA якобы от Cloudflare на странице, маскирующейся под сайт Advanced IP Scanner — популярного бесплатного сетевого сканера.
Исходя из этого можно предположить, что атаки нацелены на ИТ-специалистов, работающих в потенциально интересующих группировку организациях. Судя по всему, Interlock находится на этапе тестирования новых инструментов, в частности техники ClickFix.
Как Interlock использует ClickFix для распространения вредоносного ПО
Злоумышленники из Interlock заманивают жертву на страницу, адрес которой имитирует адрес сайта Advanced IP Scanner. Описавшие атаку исследователи нашли одну и ту же страницу, размещенную по нескольким адресам в Сети.
При переходе по ссылке пользователь видит извещение о необходимости пройти CAPTCHA, якобы от Cloudflare. В сопутствующем тексте мошенники рассказывают жертве о том, что Cloudflare «помогает компаниям восстановить контроль над своими технологиями». За этим достаточно типичным бизнесовым текстом, скопированным со страницы «Что такое Cloudflare?» настоящего веб-сайта компании, следует указание: нажать сочетание [Win] + [R], затем [Ctrl] + [V] и, наконец, [Enter]. После этой инструкции находятся кнопки Fix it (Исправить проблему) и Retry (Повторить попытку).
Внизу следует объяснение: якобы ресурс, на который пытается войти жертва, должен проверить безопасность соединения.
На практике, когда жертва нажимает кнопку Fix it, в буфер обмена автоматически копируется вредоносная команда
PowerShell. После этого пользователь сам открывает консоль с помощью сочетания клавиш [Win] + [R] и сам же вставляет эту команду через [Ctrl] + [V]. После нажатия [Enter] вредоносная команда выполняется.
В результате выполнения команды на компьютер жертвы загружается 36-мегабайтный файл поддельного установщика PyInstaller,. Для отвлечения внимания жертвы при этом в браузере открывается окно с настоящим сайтом Advanced IP Scanner.
View the full article
-
Автор Bercolitt
На портале my.kaspersky такое сообщение "Подписка на Kaspersky Password Manager не используется ни на одном подключенном устройстве".
На самом деле коммерческая подписка активна и работает на смартфоне и двух системных дисках в рамках одного ПК.
-
Автор KL FC Bot
Во время расследования инцидента эксперты «Лаборатории Касперского» обнаружили новый шифровальщик-вымогатель, получивший название ShrinkLocker. Интересная особенность этого зловреда состоит в том, что для блокировки зараженных компьютеров его создатели искусно пользуются встроенными возможностями Windows. В частности, применяют для блокировки компьютера штатную утилиту для полнодискового шифрования — BitLocker.
Чем опасен шифровальщик-вымогатель ShrinkLocker?
Как и большая часть современных инструментов вымогателей, ShrinkLocker блокирует доступ к содержимому жесткого диска атакованного компьютера, шифруя его. По сути, делает это он при помощи активации штатной защитной функции Bitlocker.
ShrinkLocker уменьшает разделы диска компьютера на 100 Мб (из этого, собственно, и происходит его название) и делает из свободного места собственный загрузочный раздел. При этом все резервные инструменты восстановления ключа Bitlocker удаляются, а использованный ключ отправляется на сервер злоумышленников.
После перезагрузки пользователь видит стандартный экран ввода пароля Bitlocker. Поскольку запустить систему становится невозможным, вместо записки с требованием выкупа ShrinkLocker меняет метки всех дисков системы на контактный e-mail злоумышленников.
Посмотреть статью полностью
-
Автор Багран
Добрый день. Подскажите пожалуйста.
Стоит ПО использующее 8000 порт на ПЭВМ под Win10.
ПЭВМ через COM-порт подключен к датчикам контроля за радиацией.
Все работает хорошо.
---
Затем устанавливаю KES 11.6 для Windows.
И ПО перестает работать. Служба ПО не запускается и виснет в статусе "запуск".
И вылетает ошибка см.. Фото ошибки
"Не удалось подключиться к net.tcp://localhost:8000/. Попытки подключения выполнялись в течение интервала времени 00:00:02.0032336. Код ошибки TCP 10061: Подключение не установлено, ТК конечный компьютер отверг запрос на подключение [::1]8000.
Отключение KES не помогает, помогает только удаление.
---
Вопрос.
Резервирует ли KES 11.6 8000 порт?
Может ли KES блокировать запуск ПО механизмами превентивной защиты.
И что делать?
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти