Программа-вымогатель Magniber использует JavaScript для атаки на пользователей

Cloud Networks • Новости • Программа-вымогатель Magniber использует JavaScript для атаки на пользователей
09.11.2022

Программа-вымогатель Magniber использует JavaScript для атаки на пользователей

Стало известно, что программа-вымогатель Magniber, нацеленная на домашних пользователей, маскируется под обновления программного обеспечения. Кампания программ-вымогателей, изолированная HP Wolf Security в сентябре 2022 года, привела к распространению программы-вымогателя Magniber. Это вредоносное ПО известно как одноклиентское семейство программ-вымогателей, которое требует от жертв 2500 долларов.

Magniber в основном распространялся через файлы MSI и EXE, но в сентябре 2022 года HP Wolf Security начала проводить кампании по распространению программы-вымогателя в файлах JavaScript.

Патрик Шлепфер, аналитик вредоносных программ в HP Wolf Security, прокомментировал:

«Некоторые семейства вредоносных программ, такие как Vjw0rm и GootLoader, полагаются исключительно на JavaScript, но делают это в течение некоторого времени.

В настоящее время мы также наблюдаем рост контрабанды HTML, например, с Qakbot и IcedID. Этот метод также использует JavaScript для декодирования вредоносного контента. Единственное отличие состоит в том, что файл HTML выполняется в контексте браузера и поэтому обычно требует дальнейшего взаимодействия с пользователем».

 

Примечательно, что, по словам HP Wolf Security, злоумышленники использовали умные методы, чтобы избежать обнаружения, такие как:

  • запуск программы-вымогателя в памяти,
  • обход контроля учетных записей (UAC) в Windows,
  • обход методов обнаружения, которые отслеживают ловушки пользовательского режима, используя системные вызовы вместо стандартных,
  • библиотеки API Windows.

 

Похоже, что при обходе UAC вредоносное ПО удаляет файлы теневой копии зараженной системы и отключает функции резервного копирования и восстановления, не позволяя жертве восстановить свои данные с помощью инструментов Windows.

Описав в недавнем интервью кампанию программ-вымогателей, HP Wolf отметил, что цепочка заражения начинается с загрузки с веб-сайта, контролируемого злоумышленниками. Кроме того, пользователю предлагается загрузить ZIP-файл, содержащий файл JavaScript, который якобы является важным обновлением антивируса или программного обеспечения Windows 10.

Чтобы Magniber мог получить доступ к файлам и заблокировать их, он должен быть запущен с учетной записью Windows с правами администратора (уровень доступа, который гораздо более распространен в персональных системах).

Патрик Шлепфер дал следующие советы:

«Пользователи могут снизить риск, убедившись, что обновления устанавливаются только из надежных источников, проверяя URL-адреса, чтобы убедиться, что используются официальные веб-сайты поставщиков, и регулярно выполняя резервное копирование данных, чтобы свести к минимуму последствия потенциальной утечки данных».

 

Этот инцидент показывает, что не только предприятия находятся в центре внимания групп вымогателей, но и домашние пользователи. Оставайтесь в безопасности!

Мы не передадим ваши данные третьим лицам и не будем донимать спамом
to-top