Опасный вирус распространяется по Казахстану — KZ-CERT

В службу реагирования на компьютерные инциденты KZ-CERT поступило обращение о повторяющейся рассылке, которая содержит вложение в виде файла Word под названием 945kaz. Эксперты классифицировали данный файл как вредоносный, сообщает Total.kz.

«Распространение вирусов в документе Word не является уникальным случаем, и подобные инциденты службе информационной безопасности уже известны. В случае с указанным файлом уникальность заключается в том, что вирус активируется только после третьей перезагрузки компьютера, что усложняет детектирование антивирусными программами и «песочницами», а также расследование инцидентов. Проще говоря, после открытия документа Word и активации исполнения макросов, вирус готовит платформу для основного вредоносного ПО. Причем делается это таким образом, чтобы максимально затруднить выявление основного функционала», — сообщили в службе.

Это делается для того, чтобы обойти автоматизированные системы анализа.

«Для усложнения анализа на одном из этапов (первая перезагрузка) злоумышленники используют интересный и эффективный ход: создание определенного каталога в качестве признака успешной перезагрузки. Поскольку данную активность трудно отнести к вредоносной, достаточно мала вероятность успешного обнаружения вредоносного функционала в ходе такого анализа», — рассказали в KZ-CERT.

Этот вирус загружает и исполняет произвольный код с сервера злоумышленников. Благодаря приемам противодействия исследованию злоумышленникам удается скрыть сервер, с которого происходит загрузка реального кода. Инцидент классифицируется как достаточно опасный, поскольку эта схема позволяет исполнить любой код, обеспечивая при этом возможности для его оперативного изменения.

KZ-CERT настоятельно рекомендует пользователям обновить антивирусное программное обеспечение, а также включить автоматическую проверку файлов на наличие угроз.

Индикаторы заражения:

• 116.193.153.20 — IP-адрес сервера, с которого скачивается объект-загрузчик исполняемого кода в памяти;
• brands.newst.dnsabr.com — сервер, с которого осуществляется загрузка основного вредоносного (базонезависимого) кода.