Категорія: Защита информации

В связи очердной активостью шифровальщиков, бекдоров и хакеров, решил опубликовтаь методы автозагрузки в Windows. Эти методы используют злоумышленники, а это значит, что и те, кто занимается защитой информации может искать там средства, которые угрожают безопасности компьютера… При написании троянов и прочих полезных утилит часто возникает потребность в автозагрузке. Так уж повелось так что все используют для этих целей раздел RUN в реестре Windows… А зря, ведь есть еще много эффективных способов автозагрузки. Мне кажется или все разленились? Уже никто не хочет думать! Некоторые задачи стали настолько тривиальны, что никто даже не думает над их решением. Я это к тому, что большая часть людей считает, что в Windows’е можно сделать автозагрузку через VxD или RUN в реестре… хммм… давайте копнем поглубже и увидим неограниченые возможности скрытые в Windows. Магические директории Люди особо “творческого” ума могут сообщить нам, что загрузится можно скопировав себя куда-то в “C:\WINDOWS\Главное меню\Программы\Автозагрузка”(В Windows XP это будет выглядеть где-то так: “C:\Documents and Settings\User\Программы\Автозагрузка”). Не спорю, такой вариант сработает, но давайте сделаем немного иначе. Местоположение этой папки система узнает с реестра. Упоминания о ней можно найти в таких разделах: HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Explorer\Shell Folders HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Explorer\User Shell Folders HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\explorer\Shell Folders HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\explorer\User Shell Folders Значение там хранится в переменных “Startup” и “Common Startup”. Все дело в том, что в переменную “Common Startup” можно написать все, что угодно. То есть записав туда “c:\windows\system\my_secret_program” мы запустим все программы находящиеся в каталоге “my_secret_program”. Привет Билли Волшебные INI Ну… Тут есть два варианта, использовать WIN.INI или SYSTEM.INI. В WIN.INI ключ “windows” содержит две переменные […]

27-го июня, 2017 года новая кибератака поразила множество компьютерных систем в Украине и других странах. Атака была вызвана зловредом, который ESET определял как Diskcoder.C (aka ExPetr, PetrWrap, Petya, или NotPetya). Эта атака маскировалась под эпидемию обычного шифровальщика — который шифровал данные на диске и требовал 300$ в биткоинах для восстановления данных. Но на самом деле, план был в нанесении ущерба, поэтому автора сделали все что могли, чтобы усложнить расшифровку данных. В нашем блоге, мы уже относили эту атаку к группе TeleBots и раскрыли детали другой похожей цепочки атак против Украины. Эта статья раскрывает детали про первичный вектор распространения, который был использован для эпидемии DiskCoder.C. Итак, рассказ о поддельном обновлении. На своей страничке в фейсбук, Департамент киберполиции в Украине, сообщил, что на начальной фазе распространения зловреда DiskCoder.C, было использовано популярное программное обеспечение бухгалтерского учета M.E.Doc — практически монополист в этой области на Украине. Но до сих пор нет никаких деталей как именно это было проделано. Во время нашего исследования, мы обнаружили весьма хитро скрытый бэкдор, который был внедрен в один из официальных модулей M.E.Doc. Само исполнение выглядит так, что это было бы очень сложно сделать без доступа к исходным кодам M.E.Doc. Файл зараженного модуля ZvitPublishedObjects.dll, написан на .NET Framework, он размером в 5 мегабайт, и содержит большое количество легального кода, который может быть вызван другими компонентами ПО, включая основной файл ezvit.exe Мы изучили все обновления M.E.Doc, которые были выпущены в 2017 году, и обнаружили как минимум три обновления, содержащих зараженный модуль: 01.175-10.01.176, от 14 апреля 2017 01.180-10.01.181, от 15 мая 2017 […]