❗️ Россию накрывает новая волна фишинговой кампании!

🇷🇺 Многоэтапная фишинговая кампания нацелена на Россию с использованием RAT-программы Amnesia и Ransomware.

✉️ «Атака начинается с методов социальной инженерии, используемых в качестве приманки с помощью документов деловой тематики, которые выглядят обычными и безобидными», — заявила исследовательница Кара Лин. «Эти документы и сопровождающие их скрипты служат визуальными отвлекающими маневрами, перенаправляя жертв на фальшивые задачи или сообщения о состоянии, в то время как вредоносная деятельность незаметно происходит в фоновом режиме».

🔔 В рамках этой кампании используются методы социальной инженерии для распространения сжатых архивов, содержащих множество поддельных документов и вредоносный ярлык Windows (LNK) с русскоязычными именами файлов. Файл LNK использует двойное расширение. Один из примеров: "Задание_для_бухгалтера_02отдела.txt.lnk".

🔔 При выполнении скрипт запускает команду PowerShell для получения следующего этапа — сценария PowerShell, размещенного в репозитории GitHub ("github[.]com/Mafin111/MafinREP111"), который затем служит загрузчиком первого этапа для закрепления системы, подготовки системы к сокрытию следов вредоносной активности и передачи управления последующим этапам.

🔔 После того как документ отображается жертве для поддержания обмана, скрипт отправляет сообщение злоумышленнику через API Telegram-бота , информируя оператора об успешном выполнении первого этапа. После преднамеренно введенной задержки в 444 секунды скрипт PowerShell запускает скрипт Visual Basic ("SCRRC4ryuk.vbe"), размещенный в том же репозитории.

🪧 Скрипт Visual Basic сильно обфусцирован и выступает в роли контроллера, который собирает полезную нагрузку следующего этапа непосредственно в памяти, тем самым избегая оставления каких-либо следов на диске. Скрипт на заключительном этапе проверяет, выполняется ли он с повышенными привилегиями, и, если нет, многократно отображает запрос контроля учетных записей пользователей ( UAC ), чтобы заставить жертву предоставить ему необходимые разрешения. Скрипт делает паузу в 3000 миллисекунд между попытками.

🧾 Одна из последних полезных нагрузок, развертываемых после успешного отключения средств защиты и механизмов восстановления, — это Amnesia RAT ("svchost.scr"), которая загружается из Dropbox и способна к масштабной краже данных и удаленному управлению. Она предназначена для кражи информации, хранящейся в веб-браузерах, криптовалютных кошельках, Discord, Steam и Telegram, а также системных метаданных, скриншотов, изображений с веб-камеры, звука с микрофона, содержимого буфера обмена и заголовка активного окна.

☁️ Для противодействия злоупотреблениям со стороны defendnot в отношении API Центра безопасности Windows, Microsoft рекомендует пользователям включить защиту от несанкционированного доступа, чтобы предотвратить несанкционированные изменения настроек Defender, а также отслеживать подозрительные вызовы API или изменения в работе служб Defender.

❗️ Будьте внимательны и предупредите своих коллег! ❗️

#russia #phishing #rat #microsoft

Источник: https://www.fortinet.com/blog/threat-research/inside-a-multi-stage-windows-malware-campaign

➡️ Все наши каналы 💬Все наши чаты ⚡️ Для связи с менеджером

Вредоносная программа HollowGraph скрывает C2-коммуникацию и украденные файлы в событиях Microsoft 365, датированных 2050 годом.

Обнаруженный недавно шпионский имплант использует взломанный календарь Microsoft 365 в качестве канала управления: команды оператора и украденные файлы передаются в виде вложений к событиям календаря.

Компания Group-IB, присвоившая этому вредоносному ПО название HollowGraph, отмечает, что такой подход позволяет передавать задачи и похищенные данные в рамках легитимного трафика Microsoft Graph API. В результате активность выглядит как обычный обмен данными в Microsoft 365, и системы сетевого контроля, настроенные на отслеживание обращений к подозрительным внешним ресурсам, не фиксируют никаких угроз.

Имплант представляет собой DLL-файл на платформе .NET, поддерживающий всего две команды — get и send. Он не обращается к серверам злоумышленников для загрузки полезной нагрузки, а использует календарь скомпрометированной учетной записи как двусторонний канал для скрытого обмена данными.

Для получения задач программа ищет в календаре событие, созданное оператором и намеренно "спрятанное" на 13 мая 2050 года (чтобы владелец ящика вряд ли до него долистал), а затем считывает инструкции из прикрепленного к нему файла. Процесс кражи данных происходит в обратном порядке: имплант шифрует украденный файл, создает новое событие с датой в далеком будущем и загружает данные в виде одного или нескольких вложений.

Источник: https://thehackernews.com/2026/07/hollowgraph-malware-hides-c2-and-stolen.html

#windows #microsoft365 #microsoft #C2

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Собственный драйвер Microsoft Defender может быть использован для удаления программного обеспечения безопасности при загрузке системы.

Драйвер BTR.sys (Boot Time Removal Tool) является обязательным компонентом Windows, что означает, что его нельзя добавить в список уязвимых драйверов Microsoft или заблокировать через Windows Defender Application Control (WDAC) без нарушения работы самого Defender.

BTR.sys внедряется в MpEngine.dll Defender в качестве ресурса BOOTTIMETOOL и развертывается, когда Defender должен завершить удаление вредоносного ПО после перезагрузки, удаляя файлы или записи реестра, которые были заблокированы во время работы Windows.

На демонстрации на Black Hat было показано, как BTR_CLI удаляет весь стек Defender с полностью обновленной машины Windows 11 25H2 с активной защитой от несанкционированного доступа.

Для эксплуатации требуется учетная запись администратора с привилегиями SeLoadDriverPrivilege, которые BTR_CLI автоматически включает для учетных записей, уже обладающих ими.

В отличие от атак, основанных на использовании уязвимых драйверов сторонних разработчиков, которые зависят от известных уязвимых подписанных драйверов, которые можно добавить в списки блокировки, метод BTR Reforged использует драйвер, встроенный в каждую установку Windows, начиная с Windows 7.

В репозитории Vinopal на GitHub для BTR_CLI добавлено, что "патч не планируется", - характеристика, которую Microsoft публично не подтвердила.

Источник: https://thehackernews.com/2026/08/microsoft-defenders-own-driver-can-be.html

#news #windows #microsoft

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🟦 Microsoft закрыла 973 уязвимости в сентябрьском Patch Tuesday

Microsoft выпустила сентябрьские обновления безопасности Patch Tuesday, закрыв сразу 973 уязвимости. Две из них уже использовались злоумышленниками в реальных атаках.

Это крупнейший по количеству исправлений выпуск Microsoft на данный момент. Обновления затрагивают Windows, Microsoft Office, SQL Server, Exchange Server, SharePoint, Azure и инструменты разработки.

❗️ Что исправили
Больше всего уязвимостей связано с повышением привилегий — 438.
Также исправлены:
🔴 258 — Remote Code Execution
🟠 173 — Information Disclosure
🟡 56 — Denial of Service
🟢 19 — Security Feature Bypass
🔵 16 — Spoofing
⚫ 13 — Tampering
Всего — 973 уязвимости.

По продуктам Microsoft указывает:
⏺️ 723 уязвимости в Windows,
⏺️ 111 — в Office,
⏺️ 62 — в SQL Server,
⏺️ 22 — в инструментах разработки,
⏺️ 16 — в SharePoint Server и 9 — в Exchange Server.

🕵‍♂️ Два zero-day уже эксплуатируются

Особое внимание стоит обратить на две уязвимости, которые Microsoft отметила как уже эксплуатируемые.

CVE-2026-85880 затрагивает Windows Advanced Local Procedure Call (ALPC) и позволяет повысить привилегии в системе.

Вторая — CVE-2026-81963, уязвимость повышения привилегий в Windows Update Stack. Проблема связана с некорректной обработкой ссылок перед обращением к файлу и может использоваться локальным атакующим для повышения своих привилегий.

Обе уязвимости имеют статус Important, однако наличие фактической эксплуатации делает их приоритетными. CISA также добавила обе CVE в каталог Known Exploited Vulnerabilities.

🧾 Проблемы затронули и системные компоненты Windows

Одним из наиболее затронутых компонентов стал Windows Biometric Service — для него исправлено 64 уязвимости, большинство из которых связаны с повышением привилегий.

В SQL Server исправлена 61 уязвимость, а в Windows DHCP Server — 50.

Также среди важных исправлений:

📉 CVE-2026-83939 — повышение привилегий в Windows Secure Kernel Mode;
📉 CVE-2026-83498 — повышение привилегий в VBS Enclave;
🖱 CVE-2026-83501 — раскрытие информации в Windows Virtualization-Based Security.

Отдельное внимание стоит уделить Office. В Microsoft Word исправлено 38 уязвимостей, в Excel — 32. Среди них есть критические RCE, которые могут быть связаны с открытием специально подготовленного документа.

Например, критическими являются CVE-2026-81959 и CVE-2026-81953 в Excel, а также CVE-2026-81952 в Word.

#Microsoft #PatchTuesday #Windows #CVE #Vulnerability #Cybersecurity #InfoSec #RCE #ZeroDay

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером