[:ru]
Вирус замаскирован под документ Word.
В службу реагирования на компьютерные инциденты KZ-CERT поступило обращение о повторяющейся рассылке, которая содержит вложение в виде файла Word под названием 945kaz. Эксперты классифицировали данный файл как вредоносный, сообщает Total.kz.
«Распространение вирусов в документе Word не является уникальным случаем, и подобные инциденты службе информационной безопасности уже известны. В случае с указанным файлом уникальность заключается в том, что вирус активируется только после третьей перезагрузки компьютера, что усложняет детектирование антивирусными программами и «песочницами», а также расследование инцидентов. Проще говоря, после открытия документа Word и активации исполнения макросов, вирус готовит платформу для основного вредоносного ПО. Причем делается это таким образом, чтобы максимально затруднить выявление основного функционала», — сообщили в службе.
Это делается для того, чтобы обойти автоматизированные системы анализа.
«Для усложнения анализа на одном из этапов (первая перезагрузка) злоумышленники используют интересный и эффективный ход: создание определенного каталога в качестве признака успешной перезагрузки. Поскольку данную активность трудно отнести к вредоносной, достаточно мала вероятность успешного обнаружения вредоносного функционала в ходе такого анализа», — рассказали в KZ-CERT.
Этот вирус загружает и исполняет произвольный код с сервера злоумышленников. Благодаря приемам противодействия исследованию злоумышленникам удается скрыть сервер, с которого происходит загрузка реального кода. Инцидент классифицируется как достаточно опасный, поскольку эта схема позволяет исполнить любой код, обеспечивая при этом возможности для его оперативного изменения.
KZ-CERT настоятельно рекомендует пользователям обновить антивирусное программное обеспечение, а также включить автоматическую проверку файлов на наличие угроз.
Индикаторы заражения:
- 116.193.153.20 — IP-адрес сервера, с которого скачивается объект-загрузчик исполняемого кода в памяти;
- brands.newst.dnsabr.com — сервер, с которого осуществляется загрузка основного вредоносного (базонезависимого) кода.
[:]
