Experții în securitate Cisco descriu noul vector de atac pentru malware vechi

Talos Security Intelligence and Research Group

Experții în securitate din laboratoarele Cisco’s Talos Comprehensive Threat Intelligence emit un avertisment cu privire la un nou vector de atac pe care un malware destul de vechi a decis să îl exploateze. Smoke Loader, un pachet de aplicații notoriu care a fost printre primii care au folosit PROPagate pentru a injecta cod în sisteme, se pare că vizează mașinile Microsoft Windows de câteva luni.

PROPagate a fost descoperit inițial în octombrie 2017, deci reprezintă un mod destul de nou de a viza instalările Windows. Cu toate acestea, Smoke Loader a existat cel puțin din 2011. Versiunea actuală a evoluat considerabil, iar unele dintre focarele recente au fost rezultatul unor patch-uri false care pretindeau să corecteze exploatările Meltdown și Spectre.

Smoke Loader în sine este de obicei folosit de un cracker pentru a descărca malware. În general, folosește documente Office infestate atașate la e-mail ca metodă de a obține controlul sistemelor.

Deschiderea atașamentului pe un sistem nesigur poate renunța și apoi poate executa programe malware suplimentare. Unele dintre cele mai grave cazuri din iunie au inclus ransomware-ul, însă se pare că compromiterea unui procesor pentru a executa codul de criptominare este mai frecventă în a doua săptămână a lunii iulie.

Experții Cisco au găsit e-mailuri intitulate „Factura dvs. de abonament Sage este datorată”, ceea ce a fost mai mult decât probabil să determine oamenii să le deschidă gândindu-se că ar putea avea ceva de-a face cu o aplicație populară de contabilitate a afacerilor pe care multe companii o implementează.

Se pare că experții în securitate Linux nu au rapoarte despre aceste atașamente care compromiteau casetele Unix, care include pe cele care au rulat stratul de compatibilitate a aplicației Wine. Acest lucru se poate datora faptului că atașamentul nu se deschide de obicei în Word nici pe aceste mașini, deși utilizatorii GNU / Linux sunt încă încurajați să aibă grijă atunci când deschid atașamentele de acest fel.

Sage, precum și alte grupuri de abonamente software-ca-un serviciu, de obicei, nu ar trimite oricum un fișier Word ca atașament, care ar trebui să ridice semnalizările roșii celor care primesc aceste e-mailuri. De asemenea, utilizatorii macOS nu par să raporteze nicio problemă încă și nici nu au folosit niciun sistem de operare mobil bazat pe Unix.

Întrucât unii cercetători în domeniul securității se referă la Smoke Loader drept Dofoil, există o anumită confuzie la momentul redactării acestui lucru cu privire la ce componentă malware este de fapt responsabilă pentru executarea unui cod arbitrar. Cu toate acestea, se pare că aceștia sunt doar termeni diferiți pentru a se referi la aceeași infecție.