22.06.2024 | SquidLoader: цифровое чудовище вышло на охоту за беспечными пользователями |
Исследователи в области кибербезопасности обнаружили новый вредоносный загрузчик SquidLoader, распространяющийся через фишинговые кампании, нацеленные на китайские организации. По данным специалистов LevelBlue Labs , впервые зафиксировавших этот вредоносный код в конце апреля 2024 года, SquidLoader использует методы, позволяющие избежать статического и динамического анализа и, в конечном счёте, обнаружения. Цепочки атак используют фишинговые электронные письма с вложениями, которые маскируются под документы Microsoft Word, но на самом деле являются бинарными файлами, запускающими выполнение вредоносного кода. Этот код используется для загрузки второго этапа вредоносного ПО с удалённого сервера, включая Cobalt Strike . Исследователь безопасности Фернандо Домингес отмечает, что загрузчики обладают сложными механизмами уклонения и создания ложных целей, что помогает им оставаться незамеченными и затрудняет анализ. Поставляемый шелл-код загружается в тот же процесс, чтобы избежать записи вредоносного ПО на диск и тем самым не попасть под обнаружение. SquidLoader применяет различные техники уклонения, такие как использование зашифрованных сегментов кода, ненужного кода, который остаётся неиспользованным, обфускация графа управления потоком (CFG), обнаружение отладчиков и выполнение прямых системных вызовов вместо вызовов API Windows NT. Загрузчики вредоносного ПО стали популярными среди злоумышленников, стремящихся доставить и запустить дополнительные полезные нагрузки на скомпрометированных устройствах, обходя антивирусные защиты и другие меры безопасности. Эволюция киберугроз требует постоянной бдительности и адаптации. Организациям следует не только укреплять технические аспекты защиты, но и обучать сотрудников распознавать фишинговые атаки, ведь даже самые продвинутые системы безопасности можно обойти благодаря человеческому фактору. |
Проверить безопасность сайта