-
Похожий контент
-
От KL FC Bot
Наши исследователи обнаружили новую версию зловреда из семейства Ducktail, специализирующегося на краже бизнес-аккаунтов Facebook*. Использующие его злоумышленники атакуют сотрудников, либо занимающих достаточно высокие позиции в компании, либо имеющих отношение к кадровой службе, цифровому маркетингу или маркетингу в социальных сетях. И это логично: конечная цель преступников — кража доступа к корпоративному аккаунту в Facebook*, поэтому интерес для них представляют те, у кого с наибольшей вероятностью такой доступ есть. Рассказываем о том, как происходят атаки, чем они необычны и, конечно же, как от них защититься.
Приманка и вредоносная нагрузка
Своим жертвам киберпреступники, стоящие за Ducktail, рассылают архивы с вредоносами. Для усыпления бдительности жертвы в них содержится некоторое количество изображений и видеофайлов, объединенных темой, используемой злоумышленниками в качестве наживки. Например, в ходе последней кампании (активной с марта по начало октября 2023 года) темой была модная одежда: письма приходили якобы от крупнейших игроков индустрии моды, а в архивах содержались фотографии нескольких моделей одежды.
Впрочем, наиболее важная часть этих архивов — исполняемые файлы, в которых иконка имитирует изображение от документа PDF. При этом злоумышленники используют для таких файлов очень длинные названия — чтобы дополнительно отвлечь внимание жертв от расширения EXE. Имена псевдодокументов должны убедить получателя кликнуть на иконку, чтобы ознакомиться с содержимым. В кампании с моделями одежды это были некие «политики и требования к кандидатам», но в принципе там могут быть и другие стандартные уловки — прайс-листы, коммерческие предложения и так далее.
Вредоносный архив Ducktail содержит файл, который выглядит как PDF, но в действительности является EXE
После клика по замаскированному EXE-файлу на устройстве запускается вредоносный скрипт. Первым делом он действительно показывает содержимое некоего PDF-файла (зашитого в код зловреда), чтобы жертва не заподозрила неладное. В то же время он просматривает все ярлыки, содержащиеся на рабочем столе, в меню «Пуск» и на панели быстрого запуска. Зловред ищет ярлыки браузеров, основанных на движке Chromium, то есть Google Chrome, Microsoft Edge, Vivaldi, Brave и других. В них он добавляет команду на установку браузерного расширения, которое также содержится внутри исполняемого файла. Через пять минут после запуска вредоносный скрипт завершает процесс браузера, чтобы пользователь его перезапустил при помощи одного из модифицированных ярлыков.
Посмотреть статью полностью
-
От KL FC Bot
Как только компания становится более-менее известной, находятся люди, пытающиеся эксплуатировать этот успех в своих целях. В лучшем случае они просто прикрываются чужим именем, чтобы продвигать какие-нибудь товары и услуги сомнительного качества. В худшем — охотятся на ваших клиентов, партнеров или даже сотрудников. Причем руководство и ИБ-отдел компании зачастую даже не подозревают о существовании имперсонаторов до тех пор, пока недовольство действиями злоумышленников не вызывает шквал писем в поддержку или скандал в социальных сетях, а это в любом случае негативно отражается на репутации компании. Чаще всего двойники работают по трем направлениям.
Фальшивые приложения в магазинах
Сейчас практически каждый серьезный бизнес имеет собственное приложение для удобного доступа клиентов к услугам или для заказа товаров. Иногда даже не одно. Поэтому никто не удивляется, увидев в поиске магазина приложений сразу несколько позиций с одинаковой иконкой. Да, большинство пользователей скачают самый популярный вариант, но скорее всего часть попадется на уловку злоумышленников и установит себе фальшивку. Особенно если получат на нее прямую ссылку. А внутри может быть что угодно: от банковского трояна до средств удаленного управления устройством. Совсем недавно наши эксперты нашли в Google Play несколько модифицированных версий популярных мессенджеров, по факту являющихся шпионскими программами.
Посмотреть статью полностью
-
От KL FC Bot
Лучший способ не попадаться на удочку мошенников — всегда мыслить критически или даже скептически.
Вот, скажем, что бы вы сделали, если бы в «Твиттере» в личных сообщениях вам прислали логин и пароль от аккаунта на некой криптоплатформе с просьбой помочь вывести оттуда деньги?
Правильное действие — проигнорировали бы такое сообщение. Но неужели оно никак не может быть настоящим? Вдруг на вас и впрямь свалилось неожиданное богатство? Давайте вместе разберемся, что именно тут не так, и перечислим все «красные флаги», тем более что подобная мошенническая кампания была недавно обнаружена экспертами «Лаборатории Касперского».
Для начала посмотрим, собственно, на скриншот сообщения:
Ура! Вы богаты! Хотя постойте-ка…
View the full article
-
От KL FC Bot
Вокруг криптовалют крутится невероятное количество разнообразных преступных схем — от банальной разводки на биткойны под тем или иным предлогом до грандиозных криптоограблений на сотни миллионов долларов.
Опасности подстерегают владельцев крипты буквально на каждом шагу. Совсем недавно мы рассказывали про поддельные криптокошельки, которые выглядят и работают совсем как настоящие, но в один не очень прекрасный момент воруют все деньги пользователя. И вот уже наши эксперты обнаружили новую угрозу: сложную атаку, использующую загрузчик DoubleFinger, который приводит с собой друзей — криптостилер GreetingGhoul и, чтобы уж наверняка, троян удаленного доступа Remcos. Но обо всем по порядку.
Как загрузчик DoubleFinger устанавливает криптостилер GreetingGhoul
Наши эксперты отдельно отмечают высокий технический уровень этой атаки и ее многоступенчатость — по этой части данная угроза напоминает сложные атаки из категории Advanced Persistant Threat (APT). Заражение DoubleFinger начинается с электронного письма, в которое вложен вредоносный PIF-файл. После того как пользователь открывает это вложение, происходит цепочка событий, которую можно разделить на несколько стадий:
Стадия 1. Загрузчик DoubleFinger выполняет шелл-код, который загружает с сервиса для обмена изображениями Imgur.com файл в формате PNG. На самом деле это никакая не картинка: в файле в зашифрованном виде содержатся несколько компонентов DoubleFinger, которые используются на следующих стадиях атаки. В том числе — загрузчик второй стадии атаки, легитимный файл java.exe и еще один PNG-файл, который будет использован позднее, на четвертой стадии.
Посмотреть полную статью...
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти