Рансъмуерът Magniber заразява Windows чрез JavaScript

Сравнително нова злонамерена кампания, доставяща рансъмуер Magniber, е насочена към домашни потребители на Windows с фалшиви актуализации за сигурност.

Авторите на заплахата създадоха през септември уебсайтове, които популяризираха фалшива антивирусна програма и актуализации за сигурност за Windows 10. Изтеглените злонамерени файлове (ZIP архиви) съдържаха JavaScript, който инициира сложна инфекция със зловреден софтуер за криптиране на файлове.

Доклад от екипа за разузнаване на заплахи на HP отбелязва, че операторите на рансъмуера Magniber са поискали плащания до $2500 от домашните потребители, за да получат инструмент за дешифриране и да възстановят своите файлове. Щамът се фокусира само върху компилациите на Windows 10 и Windows 11.

Windows builds targeted by Magniber

През април 2022г. Magniber беше разпространен като актуализация на Windows 10 чрез мрежа от злонамерени уебсайтове, а през януари неговите оператори използваха актуализации на браузъра Chrome и Edge, за да прокарат злонамерени пакетни файлове с Windows приложения (.APPX).

Новата верига за заразяване на Magniber

В предишната кампания хакерите използваха MSI и EXE файлове. Сега преминаха към JavaScript файлове, които имаха следните имена:

  • SYSTEM.Critical.Upgrade.Win10.0.ba45bd8ee89b1.js
  • SYSTEM.Security.Database.Upgrade.Win10.0.jse
  • Antivirus_Upgrade_Cloud.29229c7696d2d84.jse
  • ALERT.System.Software.Upgrade.392fdad9ebab262cc97f832c40e6ad2c.js

 

Тези файлове са обфусцирани и използват вариант на техниката „DotNetToJScript“ за изпълнение на .NET файл в системната памет, намалявайки риска от откриване от антивирусни продукти, налични на хоста.

.NET файлът декодира shellcode, който използва своя собствена обвивка, за да направи скрити системни извиквания, и го инжектира в нов процес, преди да прекрати своя собствен.

Шелкодът изтрива файлове със скрито копие чрез WMI и деактивира функциите за архивиране и възстановяване чрез „bcdedit“ и „wbadmin“. Това увеличава шансовете за получаване на плащане, тъй като жертвите имат една възможност по-малко да възстановят файловете си.

За да извърши това действие, Magniber използва байпас за функцията за контрол на потребителските акаунти (UAC) в Windows.

Той разчита на механизъм, който включва създаване на нов ключ на системния регистър, който позволява указване на команда на обвивката. В по-късна стъпка се изпълнява помощната програма „fodhelper.exe“, за да стартира скрипт за изтриване на скритите копия.

UAC bypass process

 

VBScript that deletes shadow copies

Накрая Magniber криптира файловете на хоста и пуска бележките за откуп, съдържащи инструкции как жертвата да възстанови своите файлове.

Magniber's new infection chain

Анализаторите на HP забелязаха, че докато Magniber се опитва да ограничи криптирането само до конкретни типове файлове, псевдохешът, който генерира по време на изброяването, не е перфектен, което води до сблъсъци на хешове и „съпътстващи щети“, т.е. криптиране и на нецелеви типове файлове .

Домашните потребители могат да се защитят от атака на ransomware, като правят редовни резервни копия на своите файлове и ги съхраняват на офлайн устройство за съхранение. Това позволява възстановяване на данните върху прясно инсталирана операционна система.

Преди да възстановят данните, потребителите трябва да се уверят, че техните резервни копия не са заразени.

Снимки и схеми: НР

Източник: По материали от Интернет

Подобни публикации

20 март 2023

Препоръки на CISA за домашните мрежи - част1

ПРЕПОРЪКИ ЗА КОМПЮТЪРНИ И РАЗВЛЕКАТЕЛНИ УСТРОЙСТВА За да се предотв...
20 март 2023

Windows 11 ще иска разрешение, преди да закача ...

Microsoft съобщава, че ще предостави на разработчиците нов API, кой...
19 март 2023

Winter Vivern е насочена към индийски, източное...

АРТ групата, известна като Winter Vivern, е свързана с кампании, на...
18 март 2023

Измерване на ефективността на SOC

Компаниите трябва да измерват ефективността във всички области на д...
17 март 2023

(ISC)² с програма за 1 000 000 безплатни курсов...

Искате да видите  себе си в киберсигурността? Не ви е необходим опи...
17 март 2023

Поддръжката на Microsoft краква Windows на клие...

При неочакван обрат инженер по поддръжката на Microsoft прибягва до...
16 март 2023

Фалшиво ChatGPT разширение за Chrome отвлича ак...

Установено е, че фалшиво разширение за браузър Chrome с марката Cha...
16 март 2023

Различни методи и етапи на тестовете за проникване

Залогът за киберзащитниците не може да бъде по-голям. При огромните...
15 март 2023

Федералната агенция на САЩ е хакната с помощта ...

Миналата година уеб сървърът на Microsoft Internet Information Serv...
Бъдете социални
Още по темата
20/03/2023

Препоръки на CISA за домашн...

ПРЕПОРЪКИ ЗА КОМПЮТЪРНИ И РАЗВЛЕКАТЕЛНИ УСТРОЙСТВА...
20/03/2023

Windows 11 ще иска разрешен...

Microsoft съобщава, че ще предостави на...
18/03/2023

Измерване на ефективността ...

Компаниите трябва да измерват ефективността във...
Последно добавени
20/03/2023

Препоръки на CISA за домашн...

ПРЕПОРЪКИ ЗА КОМПЮТЪРНИ И РАЗВЛЕКАТЕЛНИ УСТРОЙСТВА...
20/03/2023

Windows 11 ще иска разрешен...

Microsoft съобщава, че ще предостави на...
19/03/2023

Winter Vivern е насочена къ...

АРТ групата, известна като Winter Vivern,...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!