Хакеры использовали антивирус для внедрения вредоносных компонентов через легитимные утилиты Windows

Киберпреступники Earth Preta (также известные как Mustang Panda) эксплуатируют новую технику обхода антивирусной защиты в Windows-системах для последующего перехвата управления заражёнными системами. Аналитик лаборатории исследований кибербезопасности компании «Газинформсервис» Ирина Дмитриева рассказала об эффективной защите от подобной атаки.

Эксперты Trend Micro обнаружили, что хакеры используют легитимный инструмент Windows под названием Microsoft Application Virtualization Injector («MAVInject.exe») для внедрения вредоносного кода в процесс «waitfor.exe», если на устройстве обнаружена работа антивируса ESET.

Атака начинается с загрузки нескольких файлов, включая легитимные исполняемые файлы, вредоносные компоненты и подставной PDF-документ, предназначенный для отвлечения внимания жертвы. В ходе атаки используется Setup Factory — инструмент для создания установщиков Windows, что помогает скрыть вредоносный код и обеспечить его незаметное выполнение.

«Злоумышленники эксплуатируют встроенные компоненты Windows для скрытого внедрения вредоносной нагрузки, реализуя цепочку техник, описанных в матрице MITRE ATT&CK. Последовательность действий не уникальна. Зачастую на этапе запуска обфусцированных вредоносных приложений антивирусные средства не способны детектировать первичные угрозы и подвергаются манипуляциям со стороны хакеров. Не допустить подобные угрозы поможет комплексная защита инфраструктуры, которую сможет обеспечить внедрение GSOC. Проактивный поиск угроз и автоматизированный анализ активности на каждом устройстве в сочетании с инструментами поведенческого анализа и высококлассной экспертизы аналитиков SOC обеспечивают гарантированное выявление атаки на первых этапах», — говорит эксперт «Газинформсервиса» Ирина Дмитриева.

*Trend Micro — международная компания в области кибербезопасности, специализирующаяся на защите от вредоносного программного обеспечения, угроз в интернете и прочих кибератак.