🖥 MaxPatrol EDR обнаруживает новый троян RADX

📨 В конце прошлого года исследователи безопасности обнаружили фишинговую кампанию хакерской группировки, целью которой стали российские организации. Для атак использовался троян удаленного доступа RADX, который ранее специалистам не встречался.

Затем обнаружилось, что этот вредонос продается в даркнете, причем злоумышленники позиционировали его как «самый дешевый RAT»: он продавался по подписке за 175 рублей в месяц. Все подробности о нем вы можете узнать в материале SecurityLab.ru.

👀 А мы в свою очередь решили протестировать RADX с помощью нашего нового продукта для выявления киберугроз на конечных точках и реагирования на них MaxPatrol EDR. Отметим сразу — MaxPatrol EDR легко находит этот троян и может остановить. Смотрите, как это происходит:

1️⃣ Атака начинается с фишингового письма с архивом во вложении. Внутри этого архива — файл «скрин оплаты за сервер.pdf.exe».

2️⃣ Статический анализ показывает, что это 32-битное консольное приложение, написанное на C++. Файл имеет невалидную цифровую подпись.

3️⃣ Процесс запускает легитимное приложение AppLaunch.exe (есть на компьютерах, где установлен .NET) и внедряет в него вредоносный код через WriteProcessMemory и SetThreadContext.

4️⃣ Следующая стадия выполняется в контексте легитимного AppLaunch.exe. Код устанавливает соединение с C2 (командным центром злоумышленников) и ожидает дальнейших команд. Он может красть пользовательские данные, удаленно выполнять команды, получать информацию о компьютере жертвы, скрытно создавать скриншоты, а закрепляется он в системе с помощью task scheduler (планировщика заданий).

5️⃣ При запуске файла выполняется PowerShell-скрипт, добавляющий AppLaunch.exe в исключения Windows Defender (антивируса от Microsoft), и устанавливается соединение с C2.

💡 Пользователям MaxPatrol EDR для успешного реагирования необходимо включить модули:

• «Завершение процессов»,
• «Изоляция узлов».

@Positive_Technologies
#MaxPatrolEDR

📚 Делимся подборкой книг для начинающих DevSecOps-специалистов, которую составил Владимир Кочетков, руководитель экспертизы безопасности приложений Positive Technologies.

Подборку найдете на карточках, а тут расскажем, почему стоит выбрать направление DevSecOps, если вы решаете, куда пойти в IT.

1️⃣ Все чаще компании стараются устранять уязвимости еще в процессе написания кода. Наша статистика показывает, что 45% IT-специалистов в России считают безопасную разработку полезной практикой, но только 36% уже имеют навыки работы в DevSecOps.

2️⃣ Профессия DevSecOps-инженера становится все более востребованной: вы сможете выбирать работодателя и более подходящие вам условия работы.

3️⃣ Если вы уже занимались разработкой (особенно фулстек-разработкой), имеете представления об архитектурных принципах проектирования ПО, понимаете весь пайплайн разработки и CI/CD, преодолеть входной порог в профессию будет проще. Впрочем, необходимые навыки можно восполнить — было бы желание (мы же не зря советуем полезные книги!).

#PositiveЭксперты

🔥 Microsoft опубликовала февральский отчет об исправлении проблем с безопасностью в своих продуктах.

Обращаем внимание на две трендовые уязвимости: CVE-2024-21412 и CVE-2024-21351.

1. Уязвимость CVE-2024-21412

Связана с обходом функции безопасности ярлыков веб-страниц.

С помощью эксплуатации этой уязвимости злоумышленники могут доставить вредоносное ПО на систему жертвы. Для этого им достаточно отправить жертве ссылку на контролируемый ресурс, с которого загружается специально созданный файл (.jpeg), на самом деле являющийся вредоносным файлом ярлыка (.url).

2. Уязвимость CVE-2024-21351

Связана с обходом функции безопасности Windows SmartScreen.

В результате эксплуатации уязвимости злоумышленник может обойти проверки Windows Defender SmartScreen и внедрить в него код, после чего получить возможность выполнения кода. Кроме того, CVE-2024-21351 может быть использована для доставки ВПО в систему. В этом случае для эксплуатации уязвимости атакующему требуется взаимодействие с пользователем: отправить жертве специально созданный вредонос и убедить ее открыть содержимое.

👾 Зафиксированы случаи эксплуатации обеих уязвимостей, поэтому велика вероятность скорого появления рабочего эксплойта.

❗️Для устранения уязвимостей необходимо следовать рекомендациям вендора и установить последние обновления.

⚠️ Что делать

👾 Проверьте узлы на наличие уязвимостей с помощью MaxPatrol VM. Если установлены последние обновления базы знаний, уязвимые активы будут определены автоматически.

P.S. 🚫 В отчет не вошла уязвимость, опубликованная пользователем Florian — Windows EventLogCrasher, позволяющая удаленно аварийно завершать работу службы журнала событий на устройствах в одном домене Windows и «заметать следы» вредоносной активности. Microsoft заявил, что выпуск официального патча не планируется. При этом уязвимость встречается во всех версиях Windows, поэтому мы обновили экспертный контент MaxPatrol SIEM для вашей защиты: смотрите пакеты ATT&CK: «Выполнение» и «Предотвращение обнаружения».

#втрендеVM