Търсене
Close this search box.

Хакери използват недостатък на Windows за внедряване на криптографски дрейнър Phemedrone Stealer

Наблюдават се заплахи, които използват вече поправен недостатък в сигурността на Microsoft Windows, за да внедрят крадец на информация с отворен код, наречен Phemedrone Stealer.

„Phemedrone се насочва към уеб браузъри и данни от портфейли за криптовалути и приложения за съобщения като Telegram, Steam и Discord“, казват изследователите от Trend Micro Питър Гирнус, Алиакбар Захрави и Саймън Зукербраун.

„Той също така прави скрийншоти и събира системна информация относно хардуера, местоположението и детайлите на операционната система. След това откраднатите данни се изпращат на нападателите чрез Telegram или техния сървър за командване и контрол (C&C).“

Атаките използват CVE-2023-36025 (CVSS оценка: 8.8), уязвимост в заобикалянето на сигурността в Windows SmartScreen, която може да бъде използвана чрез подвеждане на потребителя да щракне върху специално създаден интернет пряк път (.URL) или хипервръзка, сочеща към файл с интернет пряк път.

Malware Flow
Активно експлоатираният недостатък беше отстранен от Microsoft като част от актуализациите Patch Tuesday за ноември 2023 г.

Процесът на заразяване включва хостинг на злонамерени Internet Shortcut файлове от страна на заплахата в Discord или облачни услуги като FileTransfer.io, като връзките също така се маскират с помощта на съкратители на URL адреси като Short URL.

Изпълнението на уловения в капана .URL файл позволява свързване със сървър, контролиран от извършителя, и изпълнение на файл с контролен панел (.CPL) по начин, който заобикаля Windows Defender SmartScreen, като се възползва от CVE-2023-36025.

„Когато зловредният .CPL файл се изпълни чрез двоичния процес на контролния панел на Windows, той на свой ред извиква rundll32.exe, за да изпълни DLL“, казват изследователите. „Този зловреден DLL действа като зареждащ файл, който след това се обръща към Windows PowerShell, за да изтегли и изпълни следващия етап на атаката, хостван в GitHub.“

Следващият полезен товар е PowerShell зареждач („DATA3.txt“), който действа като стартова площадка за Donut – зареждач на шелкод с отворен код, който декриптира и изпълнява Phemedrone Stealer.

Написан на C#, Phemedrone Stealer се поддържа активно от разработчиците си в GitHub и Telegram, което улеснява кражбата на чувствителна информация от компрометирани системи.

Разработката за пореден път е знак, че  заплахите стават все по-гъвкави и бързо адаптират своите вериги за атаки, за да се възползват от новоразкрити експлойти и да нанесат максимални щети.

„Въпреки че са закърпени, заплахите продължават да намират начини да използват CVE-2023-36025 и да избягват защитата Windows Defender SmartScreen, за да заразяват потребителите с множество видове зловреден софтуер, включително ransomware и крадци като Phemedrone Stealer“, казват изследователите.

 

Източник: The Hacker News

Подобни публикации

19 април 2024

Замбия арестува 77 души в операция за киберпрес...

Компанията за фалшиви телефонни центрове извършва онлайн  и други и...
18 април 2024

Платформата за фишинг LabHost е закрита от прав...

LabHost, голяма платформа за фишинг като услуга, е била затворена к...
18 април 2024

Компания за управление на киберриска набра 21 м...

В сряда компанията за риск мениджмънт CyberSaint обяви, че е набрал...
18 април 2024

Болница в Кан с 869 легла и 2100 служителя прет...

Болница „Симон Вейл“ в Кан (CHC-SV) обяви, че във вторн...
18 април 2024

Akira ransomware е събрала 42 млн. долара от ре...

Според съвместна препоръка на ФБР, CISA, Европейския център за кибе...
18 април 2024

Вариант на LockBit 3.0 генерира персонализиран,...

Изследователите на Kaspersky са открили новия вариант, след като са...
18 април 2024

Групата "Sandworm" е основното звено за киберат...

Но дори и да се е фокусирала върху това, сложната група за заплахи ...
18 април 2024

Apple предупреждава потребителите в 150 държави...

В ново уведомление за заплахи Apple посочва доставчика на Pegasus N...
Бъдете социални
Още по темата
19/04/2024

Замбия арестува 77 души в о...

Компанията за фалшиви телефонни центрове извършва...
18/04/2024

Платформата за фишинг LabHo...

LabHost, голяма платформа за фишинг като...
18/04/2024

Компания за управление на к...

В сряда компанията за риск мениджмънт...
Последно добавени
19/04/2024

Замбия арестува 77 души в о...

Компанията за фалшиви телефонни центрове извършва...
18/04/2024

Платформата за фишинг LabHo...

LabHost, голяма платформа за фишинг като...
18/04/2024

Компания за управление на к...

В сряда компанията за риск мениджмънт...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!