Търсене
Close this search box.

Хакери използват самоизвличащи се архиви за скрити атаки

Неизвестен извършител е използвал зловреден саморазгъващ се архивен файл (SFX) в опит да установи постоянен достъп до средата на жертвата чрез задна врата – това показват нови данни на CrowdStrike.

SFX файловете са способни да извличат съдържащите се в тях данни, без да е необходим специален софтуер, който да показва съдържанието на файла. Това се постига, като се включва декомпресиращ фиш – част от кода, която се изпълнява, за да се разопакова архивът.

„SFX архивните файлове обаче могат да съдържат и скрита зловредна функционалност, която може да не е непосредствено видима за получателя на файла и може да бъде пропусната само от технологично базирани открития“, заяви изследователят от CrowdStrike Джай Минтън.

В случая, разследван от фирмата за киберсигурност, компрометираните данни за достъп до системата са били използвани за стартиране на легитимно приложение за достъпност на Windows, наречено Utility Manager (utilman.exe), и впоследствие за стартиране на защитен с парола SFX файл.

Това, от своя страна, става възможно чрез конфигуриране на дебъгер (друг изпълним файл) в регистъра на Windows към определена програма (в този случай utilman.exe), така че дебъгерът да се стартира автоматично при всяко стартиране на програмата.

 

Злоупотребата с utilman.exe заслужава внимание и поради това, че може да бъде стартирана директно от екрана за вход в Windows чрез използване на клавишната комбинация Windows logo key + U, което потенциално дава възможност на хакерите да конфигурират задни вратички чрез ключа Image File Execution Options Registry (Опции за изпълнение на файлове с изображения).

„При по-внимателно разглеждане на архива SFX се установи, че той функционира като защитена с парола задна врата чрез злоупотреба с опциите за настройка на WinRAR, а не съдържа зловреден софтуер“, обяснява Минтън.

По-конкретно, файлът е проектиран така, че да стартира PowerShell (powershell.exe), Command Prompt (cmd.exe) и Task Manager (taskmgr.exe) с привилегии NT AUTHORITY\SYSTEM, като предостави правилната парола на архива.

„Този тип атака вероятно ще остане неоткрита от традиционния антивирусен софтуер, който търси злонамерен софтуер вътре в архива (който често е защитен и с парола), а не поведението на декомпресора на SFX архива“, добавя Минтън.

Това не е първият случай, когато SFX файлове се използват в атаки като средство, с което нападателите остават неразкрити. През септември 2022 г. Kaspersky разкри кампания за зловреден софтуер, която е използвала връзки към такива защитени с парола файлове, за да разпространи RedLine Stealer.

Месец по-късно е наблюдавано, че скандалният ботнет Emotet изпраща SFX архив, който, след като бъде отворен от потребител, автоматично извлича втори SFX архив, защитен с парола, въвежда паролата и изпълнява съдържанието му без по-нататъшно взаимодействие с потребителя с помощта на пакетния скрипт.

За да се намалят заплахите, породени от този вектор на атака, се препоръчва SFX архивите да се анализират чрез софтуер за разархивиране, за да се идентифицират всички потенциални скриптове или двоични файлове, които са настроени да се извличат и изпълняват при изпълнение.

 

Източник: The Hacker News

Подобни публикации

22 юни 2024

Пробивът в JAXA не е довел до изтичане на важна...

Японската космическа агенция твърди, че няма изтичане на класифицир...

Cyber Europe тества енергийния сектор

Седмото издание на Cyber Europe, едно от най-големите учения за киб...
22 юни 2024

ЕВРО 2024: Хакери удариха излъчването на Полша ...

Хакери нарушиха онлайн излъчването на мача на Полша с Австрия от Ев...
22 юни 2024

Panera Bread призна за изтичане на данни

Американската верига за бързо хранене Panera Bread е започнала да у...
21 юни 2024

Change Healthcare най-после с подробности за ат...

UnitedHealth за първи път потвърди какви видове медицински данни и ...
21 юни 2024

САЩ наложиха санкции на 12 ръководители на Kasp...

Службата за контрол на чуждестранните активи (OFAC) към Министерств...
21 юни 2024

Хакери на Хамас шпионират Палестина и Египет

Хакери, свързани с Хамас, са замесени в пет кампании за кибершпиона...
20 юни 2024

Сериозна уязвимост на Phoenix UEFI

Стотици модели компютри и сървъри, които използват процесори на Int...
20 юни 2024

Измама на Markopolo е насочена към потребителит...

Установен е извършител на заплаха с псевдоним markopolo, който стои...
Бъдете социални
Още по темата
22/06/2024

Пробивът в JAXA не е довел ...

Японската космическа агенция твърди, че няма...
21/06/2024

Хакери на Хамас шпионират П...

Хакери, свързани с Хамас, са замесени...
18/06/2024

Лондонските болници още не ...

Няколко лондонски болници, които все още...
Последно добавени
22/06/2024

Пробивът в JAXA не е довел ...

Японската космическа агенция твърди, че няма...
22/06/2024

Cyber Europe тества енергий...

Седмото издание на Cyber Europe, едно...
22/06/2024

ЕВРО 2024: Хакери удариха и...

Хакери нарушиха онлайн излъчването на мача...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!