Търсене
Close this search box.

Хакери използват самоизвличащи се архиви за скрити атаки

Неизвестен извършител е използвал зловреден саморазгъващ се архивен файл (SFX) в опит да установи постоянен достъп до средата на жертвата чрез задна врата – това показват нови данни на CrowdStrike.

SFX файловете са способни да извличат съдържащите се в тях данни, без да е необходим специален софтуер, който да показва съдържанието на файла. Това се постига, като се включва декомпресиращ фиш – част от кода, която се изпълнява, за да се разопакова архивът.

„SFX архивните файлове обаче могат да съдържат и скрита зловредна функционалност, която може да не е непосредствено видима за получателя на файла и може да бъде пропусната само от технологично базирани открития“, заяви изследователят от CrowdStrike Джай Минтън.

В случая, разследван от фирмата за киберсигурност, компрометираните данни за достъп до системата са били използвани за стартиране на легитимно приложение за достъпност на Windows, наречено Utility Manager (utilman.exe), и впоследствие за стартиране на защитен с парола SFX файл.

Това, от своя страна, става възможно чрез конфигуриране на дебъгер (друг изпълним файл) в регистъра на Windows към определена програма (в този случай utilman.exe), така че дебъгерът да се стартира автоматично при всяко стартиране на програмата.

 

Злоупотребата с utilman.exe заслужава внимание и поради това, че може да бъде стартирана директно от екрана за вход в Windows чрез използване на клавишната комбинация Windows logo key + U, което потенциално дава възможност на хакерите да конфигурират задни вратички чрез ключа Image File Execution Options Registry (Опции за изпълнение на файлове с изображения).

„При по-внимателно разглеждане на архива SFX се установи, че той функционира като защитена с парола задна врата чрез злоупотреба с опциите за настройка на WinRAR, а не съдържа зловреден софтуер“, обяснява Минтън.

По-конкретно, файлът е проектиран така, че да стартира PowerShell (powershell.exe), Command Prompt (cmd.exe) и Task Manager (taskmgr.exe) с привилегии NT AUTHORITY\SYSTEM, като предостави правилната парола на архива.

„Този тип атака вероятно ще остане неоткрита от традиционния антивирусен софтуер, който търси злонамерен софтуер вътре в архива (който често е защитен и с парола), а не поведението на декомпресора на SFX архива“, добавя Минтън.

Това не е първият случай, когато SFX файлове се използват в атаки като средство, с което нападателите остават неразкрити. През септември 2022 г. Kaspersky разкри кампания за зловреден софтуер, която е използвала връзки към такива защитени с парола файлове, за да разпространи RedLine Stealer.

Месец по-късно е наблюдавано, че скандалният ботнет Emotet изпраща SFX архив, който, след като бъде отворен от потребител, автоматично извлича втори SFX архив, защитен с парола, въвежда паролата и изпълнява съдържанието му без по-нататъшно взаимодействие с потребителя с помощта на пакетния скрипт.

За да се намалят заплахите, породени от този вектор на атака, се препоръчва SFX архивите да се анализират чрез софтуер за разархивиране, за да се идентифицират всички потенциални скриптове или двоични файлове, които са настроени да се извличат и изпълняват при изпълнение.

 

Източник: The Hacker News

Подобни публикации

27 февруари 2024

Севернокорейските хакери атакуват разработчици ...

Нови данни на Phylum показват, че набор от фалшиви пакети npm, откр...
27 февруари 2024

Защо автоматизацията е от съществено значение з...

Областта на киберсигурността се разширява, което води след себе си ...
27 февруари 2024

Киберсигурност - четки за зъби, дронове и джуджета

Звучи като виц, но всички тези истории са станали популярни през по...
27 февруари 2024

САЩ и НАТО: Руските хакери преминават към облач...

Членовете на разузнавателния алианс „Пет очи“ (FVEY) пр...
27 февруари 2024

ThyssenKrupp потвърждава кибератака

Стоманодобивният гигант ThyssenKrupp потвърждава, че миналата седми...
27 февруари 2024

SubdoMailing - развива се агресивна измамна кам...

Мащабна кампания за рекламни измами, наречена „SubdoMailing&#...
27 февруари 2024

Реакция на пробива в сигурността на AnyDesk с р...

Нарушението и реакцията на AnyDesk На 2 февруари приложението за от...
26 февруари 2024

Организациите са изправени пред големи санкции ...

Това може да се превърне в кошмар за правоприлагащите органи –...
26 февруари 2024

Малави спря издаването на паспорти заради кибер...

Съобщава се, че правителството на Малави е спряло издаването на пас...
Бъдете социални
Още по темата
27/02/2024

САЩ и НАТО: Руските хакери ...

Членовете на разузнавателния алианс „Пет очи“...
27/02/2024

ThyssenKrupp потвърждава ки...

Стоманодобивният гигант ThyssenKrupp потвърждава, че миналата...
23/02/2024

Новата ера в хактивизма

През последните две години наблюдаваме значително...
Последно добавени
27/02/2024

Севернокорейските хакери ат...

Нови данни на Phylum показват, че...
27/02/2024

Защо автоматизацията е от с...

Областта на киберсигурността се разширява, което...
27/02/2024

Киберсигурност - четки за з...

Звучи като виц, но всички тези...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!