Категория > Новости > Инфостилер Phemedrone использует уязвимость для обхода Windows SmartScreen - «Новости»
Инфостилер Phemedrone использует уязвимость для обхода Windows SmartScreen - «Новости»17-01-2024, 00:00. Автор: Надежда |
Недавно обнаруженная уязвимость в Windows SmartScreen активно используется в атаках, приводящих к заражению новым стилером Phemedrone, предупреждает компания Trend Micro. Уязвимость CVE-2023-36025 (8,8 балла по шкале CVSS) была устранена инженерами Microsoft еще в рамках ноябрьского «вторника обновлений» в прошлом году. Тогда сообщалось, что баг связан с обходом защиты Windows Defender SmartScreen. Уязвимость позволяет вредоносному ярлыку Internet Shortcut обойти проверки и связанные с ними предупреждения безопасности. «Пользователю достаточно кликнуть по специально созданному ярлыку Internet Shortcut (.URL) или гиперссылке, указывающей на файл Internet Shortcut, чтобы попасть под атаку злоумышленника», — писали разработчики. Вскоре после публикации информации об этой ошибке были замечено, что хакеры начали использовать ее, а в сети появились различные PoC-эксплоиты, которые многие злоумышленники поспешили задействовать в своих цепочках атак. Как сообщает теперь компания Trend Micro, одна вредоносная кампания уже активно использует CVE-2023-36025 для распространения инфостилера Phemedrone, ранее неизвестного исследователям. Написанный на C#, Phemedrone представляет собой опенсорсную малварь с активной поддержкой на GitHub и в Telegram. Помимо кражи данных из браузеров, криптовалютных кошельков и различных мессенджеров, вредонос способен делать скриншоты и собирать системную информацию, включая данные об оборудовании и местоположении жертвы. Затем собранная информация передается операторам малвари через Telegram или напрямую на управляющий сервер. По данным Trend Micro, целью Phemedrone являются следующие приложения и данные:
В атаках, которые наблюдали исследователи, вредоносные URL-файлы, эксплуатирующие CVE-2023-36025, размещались в Discord или других облачных сервисах, а ссылки часто маскировались с помощью сервисов по сокращению URL. После выполнения такие файлы загружают и выполняют в системе жертвы файл .cpl, который вызывает rundll32.exe для выполнения вредоносной DLL с GitHub, выступающей в качестве загрузчика следующего этапа. Следующий элемент атаки представляет собой обфусцированный загрузчик, который извлекает ZIP-архив из того же репозитория на GitHub. Архив содержит все необходимые файлы, чтобы малварь могла закрепиться в системе и перейти к следующему этапу, когда на машину пострадавшего попадает финальная полезная нагрузка стилера Phemedrone. Схема атаки «Несмотря на выпущенные патчи, злоумышленники продолжают находить способы использования CVE-2023-36025 и обхода защиты Windows Defender SmartScreen для заражения пользователей различными видами вредоносного ПО, включая программы-вымогатели и инфостилеры, такие как Phemedrone», — заключают в Trend Micro. Перейти обратно к новости |