Хакери използват самоизвличащи се архиви за скрити атаки

Неизвестен извършител е използвал зловреден саморазгъващ се архивен файл (SFX) в опит да установи постоянен достъп до средата на жертвата чрез задна врата – това показват нови данни на CrowdStrike.

SFX файловете са способни да извличат съдържащите се в тях данни, без да е необходим специален софтуер, който да показва съдържанието на файла. Това се постига, като се включва декомпресиращ фиш – част от кода, която се изпълнява, за да се разопакова архивът.

„SFX архивните файлове обаче могат да съдържат и скрита зловредна функционалност, която може да не е непосредствено видима за получателя на файла и може да бъде пропусната само от технологично базирани открития“, заяви изследователят от CrowdStrike Джай Минтън.

В случая, разследван от фирмата за киберсигурност, компрометираните данни за достъп до системата са били използвани за стартиране на легитимно приложение за достъпност на Windows, наречено Utility Manager (utilman.exe), и впоследствие за стартиране на защитен с парола SFX файл.

Това, от своя страна, става възможно чрез конфигуриране на дебъгер (друг изпълним файл) в регистъра на Windows към определена програма (в този случай utilman.exe), така че дебъгерът да се стартира автоматично при всяко стартиране на програмата.

 

Злоупотребата с utilman.exe заслужава внимание и поради това, че може да бъде стартирана директно от екрана за вход в Windows чрез използване на клавишната комбинация Windows logo key + U, което потенциално дава възможност на хакерите да конфигурират задни вратички чрез ключа Image File Execution Options Registry (Опции за изпълнение на файлове с изображения).

„При по-внимателно разглеждане на архива SFX се установи, че той функционира като защитена с парола задна врата чрез злоупотреба с опциите за настройка на WinRAR, а не съдържа зловреден софтуер“, обяснява Минтън.

По-конкретно, файлът е проектиран така, че да стартира PowerShell (powershell.exe), Command Prompt (cmd.exe) и Task Manager (taskmgr.exe) с привилегии NT AUTHORITY\SYSTEM, като предостави правилната парола на архива.

„Този тип атака вероятно ще остане неоткрита от традиционния антивирусен софтуер, който търси злонамерен софтуер вътре в архива (който често е защитен и с парола), а не поведението на декомпресора на SFX архива“, добавя Минтън.

Това не е първият случай, когато SFX файлове се използват в атаки като средство, с което нападателите остават неразкрити. През септември 2022 г. Kaspersky разкри кампания за зловреден софтуер, която е използвала връзки към такива защитени с парола файлове, за да разпространи RedLine Stealer.

Месец по-късно е наблюдавано, че скандалният ботнет Emotet изпраща SFX архив, който, след като бъде отворен от потребител, автоматично извлича втори SFX архив, защитен с парола, въвежда паролата и изпълнява съдържанието му без по-нататъшно взаимодействие с потребителя с помощта на пакетния скрипт.

За да се намалят заплахите, породени от този вектор на атака, се препоръчва SFX архивите да се анализират чрез софтуер за разархивиране, за да се идентифицират всички потенциални скриптове или двоични файлове, които са настроени да се извличат и изпълняват при изпълнение.

 

Източник: The Hacker News

Подобни публикации

1 юни 2023

Подробности за Migraine - уязвимост на Apple macOS

Microsoft сподели подробности за вече поправен недостатък в Apple m...

Лов на заплахи в шест стъпки

Откриването на  заплахите, преди те да са ви открили, е от ключово ...
31 май 2023

Уязвимостта в Barracuda е използвана минимум 7 ...

Фирмата за корпоративна сигурност Barracuda разкри във вторник, че ...

Как да избегнете прегарянето в екипа си по кибе...

Въпреки че кибератаките се увеличават през последните години, една ...
30 май 2023

Бели хакери спечелиха 105 000 долара от Sonos One

Няколко недостатъка в сигурността, открити в безжичните високоговор...

Идва ли Windows 12?

Голямата актуализация на Windows 11 за края на тази година, известн...
Бъдете социални
Още по темата
31/05/2023

Уязвимостта в Barracuda е и...

Фирмата за корпоративна сигурност Barracuda разкри...
30/05/2023

CosmicEnergy е способен да ...

Руски софтуер, който може да изключва...
27/05/2023

DarkFrost унищожава гейминг...

Наблюдава се нов ботнет, наречен Dark...
Последно добавени
01/06/2023

Подробности за Migraine - у...

Microsoft сподели подробности за вече поправен...
01/06/2023

Лов на заплахи в шест стъпки

Откриването на  заплахите, преди те да...
31/05/2023

Уязвимостта в Barracuda е и...

Фирмата за корпоративна сигурност Barracuda разкри...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!