Откройте не тот «PDF», и злоумышленники получат удаленный доступ к вашему компьютеру

Киберпреступники, стоящие за кампанией под названием DEAD#VAX, выводят фишинг на новый уровень, внедряя вредоносное ПО в виртуальные жесткие диски, которые имитируют обычные PDF-документы. Откройте неправильный «счет-фактуру» или «заказ на покупку», и вы увидите вовсе не документ. Вместо этого... Windows Подключает виртуальный диск, который незаметно устанавливает AsyncRAT — троянскую программу с бэкдором, позволяющую злоумышленникам удаленно отслеживать и контролировать ваш компьютер.

Это инструмент удаленного доступа, что означает, что злоумышленники получают удаленный контроль над клавиатурой, в то время как традиционные средства защиты на основе файлов практически не обнаруживают ничего подозрительного на диске.

С высоты птичьего полета цепочка заражения выглядит длинной, но каждый ее этап сам по себе выглядит достаточно легитимным, чтобы пройти мимо поверхностных проверок.

Жертвы получают фишинговые электронные письма, которые выглядят как обычные деловые сообщения, часто со ссылкой на заказы на покупку или счета-фактуры, а иногда и под видом реальных компаний. В электронном письме нет непосредственного вложения документа. Вместо этого в нем есть ссылка на файл, размещенный в IPFS (InterPlanetary File System), децентрализованной сети хранения данных, которая все чаще используется в фишинговых кампаниях, поскольку ее содержимое сложнее удалить и к нему можно получить доступ через обычные веб-шлюзы.

Связанный файл назван PDF и имеет значок PDF, но на самом деле это файл виртуального жесткого диска (VHD). Когда пользователь дважды щелкает по нему, Windows Он монтирует его как новый диск (например, диск E:) вместо открытия программы просмотра документов. Монтирование VHD-файлов совершенно законно. Windows такое поведение снижает вероятность того, что этот шаг вызовет тревогу.

Внутри подключенного жесткого диска находится, казалось бы, ожидаемый документ, но на самом деле это... Windows Скриптовый файл (WSF). Когда пользователь его открывает, Windows Вместо отображения PDF-файла выполняется код, находящийся в файле.

После нескольких проверок, чтобы избежать анализа и обнаружения, скрипт вставляет полезную нагрузку — шелл-код AsyncRAT — в доверенные процессы, подписанные Microsoft, такие как RuntimeBroker.exe, OneDrive.exe, taskhostw.exe, или sihost.exe. Вредоносное ПО никогда не записывает фактический исполняемый файл на диск. Оно существует и работает исключительно в памяти внутри этих легитимных процессов, что значительно затрудняет его обнаружение и, в конечном итоге, криминалистическую экспертизу. Кроме того, оно позволяет избежать резких всплесков активности или использования памяти, которые могли бы привлечь внимание.

Для отдельного пользователя попадание на эту фишинговую рассылку может привести к следующим последствиям:

• Theft сохраненных и введенных паролей, в том числе для электронной почты, банковских счетов и социальных сетей.
• Раскрытие конфиденциальных документов, фотографий или других секретных файлов, взятых прямо из системы.
• Наблюдение с помощью периодических снимков экрана или, если настроено, с помощью веб-камеры.
• Использование компьютера в качестве плацдарма для атаки на другие устройства в той же домашней или офисной сети.

Как оставаться в безопасности

Поскольку обнаружение может быть затруднительным, пользователям крайне важно проводить определенные проверки:

• Не открывайте вложения в электронных письмах, пока не убедитесь в их подлинности из надежного источника.
• Убедитесь, что вы видите фактическое расширения файлов. К сожалению, Windows позволяет пользователям скрывать их. Таким образом, в действительности файл будет называться... invoice.pdf.vhd пользователь будет видеть только invoice.pdf. Чтобы узнать, как это сделать, см. ниже.
• Используйте современное решение для защиты от вредоносных программ, работающее в режиме реального времени и способное обнаруживать вредоносные программы, скрывающиеся в памяти.

Отображение расширений файлов на Windows 10 и 11

Чтобы отобразить расширения файлов в Windows 10 и 11:

• Откройте Проводник ( Windows клавиша + E)
• В Windows 10. Выберите «Вид» и установите флажок напротив пункта «Расширения имен файлов» .
• В Windows 11. Это находится в меню «Вид» > «Показать» > «Расширения имен файлов» .

В качестве альтернативы, найдите «Параметры проводника » и снимите флажок «Скрывать расширения для известных типов файлов».

Для более старых версий Windows Обратитесь к этой статье .

От сообщения об угрозах до их устранения.

Риски кибербезопасности никогда не должны выходить за рамки заголовков новостей. Защитите свои устройства от угроз, скачав Malwarebytes уже сегодня .