Суть атаки: маскировка под легитимный софт
Злоумышленники использовали изощренную технику социальной инженерии и техническую маскировку, чтобы обойти защитные механизмы. Вредоносное ПО было спрятано внутри файла, который внешне и структурно имитировал официальное обновление операционной системы Windows. Это позволило обмануть как пользователей, так и некоторые автоматизированные системы проверки, заставив их доверять исполняемому файлу.
Механика работы: периодический запуск
Ключевой особенностью данной угрозы является не просто однократное заражение, а обеспечение постоянного присутствия в системе. Вредоносный процесс был настроен на автоматический запуск каждые 30 минут. Такая периодичность позволяла хакерам:
- Поддерживать активное соединение с командным сервером (C2).
- Регулярно выгружать украденные данные без необходимости постоянного нахождения в памяти.
- Обходить системы мониторинга, которые могли бы заблокировать процесс при длительном непрерывном запуске.
Почему это важно для безопасности
Этот инцидент демонстрирует растущую тенденцию к использованию «белого» софта и легитимных обновлений как вектора атаки. Традиционные антивирусы, основанные на сигнатурах, могут не распознать угрозу, если файл имеет правильные цифровые подписи или выглядит как часть обновления. Это требует от организаций пересмотра политик доверия к обновлениям и внедрения поведенческого анализа, способного выявлять аномальную периодичность запуска процессов.
Рекомендации по защите
Для минимизации рисков пользователям и администраторам рекомендуется:
- Включить детальное логирование запускаемых процессов.
- Использовать решения класса EDR (Endpoint Detection and Response), которые анализируют поведение, а не только известные угрозы.
- Проверять цифровые подписи всех устанавливаемых обновлений через официальные каналы Microsoft.
Источник: Securitylab ↗