Неизвестен извършител е използвал зловреден саморазгъващ се архивен файл (SFX) в опит да установи постоянен достъп до средата на жертвата чрез задна врата – това показват нови данни на CrowdStrike.

SFX файловете са способни да извличат съдържащите се в тях данни, без да е необходим специален софтуер, който да показва съдържанието на файла. Това се постига, като се включва декомпресиращ фиш – част от кода, която се изпълнява, за да се разопакова архивът.

„SFX архивните файлове обаче могат да съдържат и скрита зловредна функционалност, която може да не е непосредствено видима за получателя на файла и може да бъде пропусната само от технологично базирани открития“, заяви изследователят от CrowdStrike Джай Минтън.

В случая, разследван от фирмата за киберсигурност, компрометираните данни за достъп до системата са били използвани за стартиране на легитимно приложение за достъпност на Windows, наречено Utility Manager (utilman.exe), и впоследствие за стартиране на защитен с парола SFX файл.

Това, от своя страна, става възможно чрез конфигуриране на дебъгер (друг изпълним файл) в регистъра на Windows към определена програма (в този случай utilman.exe), така че дебъгерът да се стартира автоматично при всяко стартиране на програмата.

 

Злоупотребата с utilman.exe заслужава внимание и поради това, че може да бъде стартирана директно от екрана за вход в Windows чрез използване на клавишната комбинация Windows logo key + U, което потенциално дава възможност на хакерите да конфигурират задни вратички чрез ключа Image File Execution Options Registry (Опции за изпълнение на файлове с изображения).

„При по-внимателно разглеждане на архива SFX се установи, че той функционира като защитена с парола задна врата чрез злоупотреба с опциите за настройка на WinRAR, а не съдържа зловреден софтуер“, обяснява Минтън.

По-конкретно, файлът е проектиран така, че да стартира PowerShell (powershell.exe), Command Prompt (cmd.exe) и Task Manager (taskmgr.exe) с привилегии NT AUTHORITY\SYSTEM, като предостави правилната парола на архива.

„Този тип атака вероятно ще остане неоткрита от традиционния антивирусен софтуер, който търси злонамерен софтуер вътре в архива (който често е защитен и с парола), а не поведението на декомпресора на SFX архива“, добавя Минтън.

Това не е първият случай, когато SFX файлове се използват в атаки като средство, с което нападателите остават неразкрити. През септември 2022 г. Kaspersky разкри кампания за зловреден софтуер, която е използвала връзки към такива защитени с парола файлове, за да разпространи RedLine Stealer.

Месец по-късно е наблюдавано, че скандалният ботнет Emotet изпраща SFX архив, който, след като бъде отворен от потребител, автоматично извлича втори SFX архив, защитен с парола, въвежда паролата и изпълнява съдържанието му без по-нататъшно взаимодействие с потребителя с помощта на пакетния скрипт.

За да се намалят заплахите, породени от този вектор на атака, се препоръчва SFX архивите да се анализират чрез софтуер за разархивиране, за да се идентифицират всички потенциални скриптове или двоични файлове, които са настроени да се извличат и изпълняват при изпълнение.

 

Източник: The Hacker News

Подобни публикации

22 май 2025

Руската хакерска група APT28 шпионира междунаро...

Мащабна кибершпионска кампания, провеждана от подкрепяната от руска...
22 май 2025

Русия въвежда задължително приложение за просле...

В началото на май 2025 г. руското правителство обяви ново законодат...
22 май 2025

3 a.m. рансъмуер: нова вълна от таргетирани ат...

През първото тримесечие на 2025 г. специалисти по киберсигурност от...
22 май 2025

Mеждународна операция унищожи инфраструктурата ...

Microsoft, правоприлагащи органи и водещи технологични компании с к...
22 май 2025

ЕС наложи санкции на Stark Industries заради ру...

Европейският съюз официално наложи строги санкции на хостинг достав...
21 май 2025

M&S очаква загуби от над £300 милиона след ...

Британската търговска верига Marks & Spencer (M&S) се изпра...
21 май 2025

19-годишен студент се призна за виновен за атак...

Американският департамент по правосъдието (DOJ) обяви, че 19-годишн...
21 май 2025

Cellcom потвърди: Кибератака стои зад масовия с...

След дни на мълчание, компанията разкри, че нарушението е било резу...
Бъдете социални
Още по темата
21/05/2025

M&S очаква загуби от на...

Британската търговска верига Marks & Spencer...
21/05/2025

Cellcom потвърди: Кибератак...

След дни на мълчание, компанията разкри,...
20/05/2025

Кибератака срещу официалния...

Официалните уебсайтове на популярния инструмент за...
Последно добавени
22/05/2025

Руската хакерска група APT2...

Мащабна кибершпионска кампания, провеждана от подкрепяната...
22/05/2025

Русия въвежда задължително ...

В началото на май 2025 г....
22/05/2025

3 a.m. рансъмуер: нова въл...

През първото тримесечие на 2025 г....
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!