Головна » Технології / Новини ІТ » Шкідлива програма Nodersok заразила тисячі комп’ютерів з Windows

Тисячі комп’ютерів на Windows по всьому світу були заражені новим видом шкідливого ПЗ, яке завантажує і встановлює копію інфраструктури Node.js для перетворення заражених систем в проксі-сервери і здійснення шахрайського кліка. Шкідливі програми, названі Nodersok (в звіті Microsoft) і Divergent (в звіті Cisco Talos), вперше були виявлені влітку. Їх поширювали за допомогою шкідливої ​​реклами, яка примусово завантажувала файли HTA (додатки HTML) на комп’ютери користувачів. Користувачі, які знайшли і запустили ці файли HTA, запустили багатоетапний процес зараження з використанням сценаріїв Excel, JavaScript і PowerShell, які в результаті завантажили і встановили шкідливе ПЗ Nodersok.




Шкідлива програма має кілька компонентів, кожен з яких має свою роль. Є модуль PowerShell, який намагається відключити Windows Defender і служби Windows Update, і є компонент для підвищення дозволів шкідливого ПЗ до рівня SYSTEM. Але є також два компоненти, які є законними додатками, а саме: WinDivert і Node.js. Перший – це додаток для захоплення і взаємодії з мережевими пакетами, а другий – відомий інструмент розробника для запуску JavaScript на веб-серверах.

Шкідлива програма Nodersok заразила тисячі комп'ютерів з Windows

Nodersok: що з’ясували Microsoft і Cisco

Відповідно до звітів Microsoft і Cisco, шкідлива програма використовує два законних додатки для запуску проксі-сервера SOCKS на заражених хостах. Але ось де звіти розходяться. Microsoft стверджує, що шкідлива програма перетворює заражені вузли в проксі-сервери для передачі шкідливого трафіку. Cisco, з іншого боку, говорить, що ці проксі використовуються для шахрайського кліка.

Проте, це однаково шкідливі програми. Творці Nodersok можуть в будь-який момент розгорнути інші модулі для виконання додаткових завдань або навіть розгорнути вторинні шкідливі програми, такі як вимагачі або банківські трояни. Оскільки Microsoft виявила шкідливе ПЗ, Windows Defender також зможе його виявити.

Щоб запобігти зараженню, найкраща порада – це не запускати файли HTA, знайдені на своїх комп’ютерах, особливо якщо ви не знаєте точного походження файлів. Файли, завантажені з веб-сторінки абсолютно несподівано, завжди є поганою ознакою, і їм не можна довіряти, незалежно від розширення.

За даними Microsoft, Nodersok вже вдалося заразити тисячі комп’ютерів за останні кілька тижнів. Компанія заявила, що більшість випадків зараження відбулася цього місяця і вразила користувачів з США та ЄС. Однак складність роботи з Nodersok полягає в тому, що він використовує законне програмне забезпечення і корисне навантаження в пам’яті (виконання без файлів). Ці два методи значно ускладнюють виявлення ПЗ для класичних антивірусних програм. Проте, Microsoft заявляє, що «постінфекційна поведінка Nodersok» є видимим слідом, який явно виділяється для всіх, хто знає, де шукати. Тобто є шанс, що дослідники безпеки виявлять його.

Якщо Ви знайшли помилку, будь ласка, виділіть фрагмент тексту та натисніть Ctrl+Enter.
Поділитися:

Новини партнерів

Правила коментування

Вітаємо Вас на сайті Pingvin Pro. Ми докладаємо всіх зусиль, аби переконатися, що коментарі наших статей вільні від тролінгу, спаму та образ. Саме тому, на нашому сайті включена премодерація коментарів. Будь ласка, ознайомтеся з кількома правилами коментування.

  1. Перш за все, коментування відбувається через сторонній сервіс Disqus. Модератори сайту не несуть відповідальність за дії сервісу.
  2. На сайті ввімкнена премодерація. Тому ваш коментар може з’явитися не одразу. Нам теж інколи треба спати.
  3. Будьте ввічливими – ми не заохочуємо на сайті грубість та образи. Пам’ятайте, що слова мають вплив на людей! Саме тому, модератори сайту залишають за собою право не публікувати той чи інший коментар.
  4. Будь-які образи, відкриті чи завуальовані, у бік команди сайту, конкретного автора чи інших коментаторів, одразу видаляються. Агресивний коментатор може бути забанений без попереджень і пояснень з боку адміністрації сайту.
  5. Якщо вас забанили – на це були причини. Ми не пояснюємо причин ані тут, ані через інші канали зв’язку з редакторами сайту.
  6. Коментарі, які містять посилання на сторонні сайти чи ресурси можуть бути видалені без попереджень. Ми не рекламний майданчик для інших ресурсів.
  7. Якщо Ви виявили коментар, який порушує правила нашого сайту, обов’язково позначте його як спам – модератори цінують Вашу підтримку.

Схожі новини

Новини ІТ

Microsoft Teams отримає нові можливості і функції

Microsoft, нарешті, прислухалася до відгуків користувачів і незабаром представить дві нові функції для організаторів відеоконференцій у Microsoft Teams. А також, додасть певні покращення у свій сервіс для відеодзвінків. Підписуйтесь на наш Telegram-канал Компанія дозволить в один клік вимикати відео певного учасника дзвінка або ж вимкнути всі відео разом. Ці можливості будуть корисними, якщо відео вас […]


Новини ІТ

Google Chrome для Windows, Linux і macOS працюватиме швидше

Торік Google представила підтримку «зворотного кешування» для Android, що забезпечує миттєве завантаження сторінки за допомогою кнопок назад або вперед. Згідно з даними, оновлення Google Chrome 92 додасть типову підтримку для зворотного кешування на настільних платформах – Windows, Linux і macOS. Підписуйтесь на наш Telegram-канал У Google Chrome, якщо ви відкриваєте і закриваєте сторінку, вона негайно […]


Новини партнерів

Повідомити про помилку

Текст, який буде надіслано нашим редакторам: