Специализираната по въпросите на кибербезопасността компания Elastic Security откри масова атака на злонамерен софтуер, който използва сертификат за подпис и други методи, за да не бъде открит от антивирусния софтуер.
Зловредният софтуер е подписан с валиден сертификат от 15 септември 2021 г., издаден от удостоверяващия център Sectigo за компанията Blist LLC – оттук и името Blister. Отбелязва се, че данните на притежателя на сертификата съдържат имейл адрес на един от домейните, собственост на Mail.ru.
Blister прониква в системата под прикритието на обикновени библиотеки, като colorui.dll и се изпълнява чрез Rundll32. След като влезе в системата, той прекъсва работата си за 10 минути и преминава в режим на готовност – експертите са уверени, че това му помага да заобиколи анализа на пясъчника. След това се декодира и се зарежда в един от процесите и прави всичко останало: отваря отдалечен достъп до системата, разпространява се в локалната мрежа, съхранява свои копия в системната папка ProgramData и се маскира като rundll32.exe. В допълнение, злонамереният софтуер се добавя за автоматично стартиране и се зарежда всеки път, когато операционната система се стартира.
Изследователите вече са уведомили Sectigo и са поискали отмяната на сертификата – това ще ускори борбата срещу Blister. Но засега буутлоудърът остава с малко или нулево откриване от VirusTotal.
Всичко важно от света на технологиите, директно в пощата ти.
С абонирането приемате нашите Условия и Политика за поверителност. Може да се отпишете с един клик по всяко време.
Коментирайте статията в нашите Форуми. За да научите първи най-важното, харесайте страницата ни във Facebook, и ни последвайте в Google Новини, TikTok, Telegram и Viber или изтеглете приложението на Kaldata.com за Android, iPhone, Huawei, Google Chrome, Microsoft Edge и Opera!
