Головна » Технології / Новини ІТ » Шкідлива програма Nodersok заразила тисячі комп’ютерів з Windows

Тисячі комп’ютерів на Windows по всьому світу були заражені новим видом шкідливого ПЗ, яке завантажує і встановлює копію інфраструктури Node.js для перетворення заражених систем в проксі-сервери і здійснення шахрайського кліка. Шкідливі програми, названі Nodersok (в звіті Microsoft) і Divergent (в звіті Cisco Talos), вперше були виявлені влітку. Їх поширювали за допомогою шкідливої ​​реклами, яка примусово завантажувала файли HTA (додатки HTML) на комп’ютери користувачів. Користувачі, які знайшли і запустили ці файли HTA, запустили багатоетапний процес зараження з використанням сценаріїв Excel, JavaScript і PowerShell, які в результаті завантажили і встановили шкідливе ПЗ Nodersok.




Шкідлива програма має кілька компонентів, кожен з яких має свою роль. Є модуль PowerShell, який намагається відключити Windows Defender і служби Windows Update, і є компонент для підвищення дозволів шкідливого ПЗ до рівня SYSTEM. Але є також два компоненти, які є законними додатками, а саме: WinDivert і Node.js. Перший – це додаток для захоплення і взаємодії з мережевими пакетами, а другий – відомий інструмент розробника для запуску JavaScript на веб-серверах.

Шкідлива програма Nodersok заразила тисячі комп'ютерів з Windows

Nodersok: що з’ясували Microsoft і Cisco

Відповідно до звітів Microsoft і Cisco, шкідлива програма використовує два законних додатки для запуску проксі-сервера SOCKS на заражених хостах. Але ось де звіти розходяться. Microsoft стверджує, що шкідлива програма перетворює заражені вузли в проксі-сервери для передачі шкідливого трафіку. Cisco, з іншого боку, говорить, що ці проксі використовуються для шахрайського кліка.

Проте, це однаково шкідливі програми. Творці Nodersok можуть в будь-який момент розгорнути інші модулі для виконання додаткових завдань або навіть розгорнути вторинні шкідливі програми, такі як вимагачі або банківські трояни. Оскільки Microsoft виявила шкідливе ПЗ, Windows Defender також зможе його виявити.

Щоб запобігти зараженню, найкраща порада – це не запускати файли HTA, знайдені на своїх комп’ютерах, особливо якщо ви не знаєте точного походження файлів. Файли, завантажені з веб-сторінки абсолютно несподівано, завжди є поганою ознакою, і їм не можна довіряти, незалежно від розширення.

За даними Microsoft, Nodersok вже вдалося заразити тисячі комп’ютерів за останні кілька тижнів. Компанія заявила, що більшість випадків зараження відбулася цього місяця і вразила користувачів з США та ЄС. Однак складність роботи з Nodersok полягає в тому, що він використовує законне програмне забезпечення і корисне навантаження в пам’яті (виконання без файлів). Ці два методи значно ускладнюють виявлення ПЗ для класичних антивірусних програм. Проте, Microsoft заявляє, що «постінфекційна поведінка Nodersok» є видимим слідом, який явно виділяється для всіх, хто знає, де шукати. Тобто є шанс, що дослідники безпеки виявлять його.

Якщо Ви знайшли помилку, будь ласка, виділіть фрагмент тексту та натисніть Ctrl+Enter.
Поділитися:
Правила коментування

Вітаємо Вас на сайті Pingvin Pro. Ми докладаємо всіх зусиль, аби переконатися, що коментарі наших статей вільні від тролінгу, спаму та образ. Саме тому, на нашому сайті включена премодерація коментарів. Будь ласка, ознайомтеся з кількома правилами коментування.

  1. Перш за все, коментування відбувається через сторонній сервіс Disqus. Модератори сайту не несуть відповідальність за дії сервісу.
  2. На сайті ввімкнена премодерація. Тому ваш коментар може з’явитися не одразу. Нам теж інколи треба спати.
  3. Будьте ввічливими – ми не заохочуємо на сайті грубість та образи. Пам’ятайте, що слова мають вплив на людей! Саме тому, модератори сайту залишають за собою право не публікувати той чи інший коментар.
  4. Будь-які образи, відкриті чи завуальовані, у бік команди сайту, конкретного автора чи інших коментаторів, одразу видаляються. Агресивний коментатор може бути забанений без попереджень і пояснень з боку адміністрації сайту.
  5. Якщо вас забанили – на це були причини. Ми не пояснюємо причин ані тут, ані через інші канали зв’язку з редакторами сайту.
  6. Коментарі, які містять посилання на сторонні сайти чи ресурси можуть бути видалені без попереджень. Ми не рекламний майданчик для інших ресурсів.
  7. Якщо Ви виявили коментар, який порушує правила нашого сайту, обов’язково позначте його як спам – модератори цінують Вашу підтримку.

Схожі новини

Новини ІТ

Microsoft оновила OneDrive до 15-річчя

Цього місяця хмарній службі зберігання даних Microsoft OneDrive виповнюється 15 років, і щоб відсвяткувати це, компанія переробляє домашню сторінку. OneDrive спочатку був запущений у 2007 році як Windows Live SkyDrive, і за ці роки він значно змінився. Останній редизайн має на меті зробити досвід більш адаптованим до конкретних потреб кожного користувача. Підписуйтесь на наш Telegram-канал […]


Новини ІТ

Середньостатистичний гравець Steam за липень та збільшення російськомовних гравців

Найпопулярніший ігровий магазин для компʼютерів, Steam від компанії Valve, нещодавно оприлюднив статистику за липень 2022 року. За цими даними вимальовується середньостатистичний гравець Steam та нові статистичні дані, що змінилися за останній місяць. Підписуйтесь на наш Telegram-канал Середньостатистичний гравець Steam Середньостатистичний гравець Steam користується компʼютером на базі 64-розрядної операційної системи Windows 10 з англійською мовою. Такий компʼютер […]


Повідомити про помилку

Текст, який буде надіслано нашим редакторам: