19.09.2024, 15:27
Количество просмотров 522

Российские энергетические компании атакует новый шпионский «троянец»

В сентябре эксперты «Лаборатории Касперского» зафиксировали атаки на российские компании с использованием нового троянца Unicorn, направленные на кражу конфиденциальных данных. Атакам подверглись российские энергетические компании, заводы, поставщики и разработчики электронных компонентов.
Российские энергетические компании атакует новый шпионский «троянец»

Шпионское ПО распространяется через вредоносные рассылки в электронной почте. В отличие от других подобных атак зловред не самоудаляется сразу после кражи информации, а продолжает похищать новые и изменившиеся файлы, пока его не обнаружат.

Как происходит заражение. Вредоносное ПО распространяется через почтовые вложения или файлы на Яндекс.Диске, на которые ведёт ссылка из письма. Это RAR-архив с документом, имеющим двойное расширение: pdf и lnk (ярлык). Вредоносный ярлык содержит командную строку на скачивание и запуск файла, замаскированного под PDF, который на самом деле относится к типу HTML Application. После его запуска выполняется вредоносный VBS-скрипт, создающий на диске два скрипта — update.vbs и upgrade.vbs. Также он генерирует ключи для их автозапуска в реестре и дополнительные ключи, где в зашифрованном виде содержится вредоносный код.

Как троянец похищает данные. При запуске скрипта update.vbs создаётся папка, в которую он копирует нужные файлы из домашнего каталога пользователя. В частности, его интересуют файлы не менее 50 Мб с расширениями: txt, pdf, doc, docx, xls, xlsx, png, rtf, jpg, zip, rar. Второй скрипт, upgrade.vbs, отправляет на сайт злоумышленников похищенные данные с помощью расшифрованного кода из реестра. Информацию о скопированных файлах, дате их последнего изменения, а также об уже переданных документах скрипты сохраняют в текстовые файлы и постоянно сверяются с ними, чтобы не повторяться.

«Особенность этих атак заключается в том, что после кражи данных вредоносные скрипты остаются в системе. В отличие от других подобных зловредов, вместо того чтобы один раз украсть данные и замести следы, вредоносное ПО продолжает передавать злоумышленникам новые или обновлённые файлы, пока его не обнаружат и не примут меры, что потенциально увеличивает масштаб возможных потерь», — комментирует Олег Купреев, эксперт «Лаборатории Касперского» по кибербезопасности.

Рубрика:
{}Безопасность
Новости в вашей почте
mail

PLUSworld в соцсетях:
telegram
vk
dzen
youtube
ЕЩЁ НОВОСТИ