Astaroth става все по-мощен, използвайки канали в YouTube за C2

Троянецът Astaroth, специализиран в кражба на чувствителна информация, беше открит миналата година и досега тя се превърна в топ стелт зловреден софтуер, диверсифицирайки защитата си срещу проверки, за да попречи на изследователите по сигурността да го открият и спрат.

Миналата година Microsoft обяви откриването на много текущи кампании за злонамерен софтуер от екипа на Windows Defender ATP. Тези кампании разпространяват зловредния софтуер на Astaroth по безфайлов начин, което го прави още по-опасен.

Говорейки за кампании със злонамерен софтуер, можете да ги прекъснете тези антималуерни инструменти.

Ето как изследовател на Microsoft Defender ATP описва атаките:

Правих стандартен преглед на телеметрията, когато забелязах аномалия от алгоритъма за откриване, предназначен да улови конкретна безфайлова техника. Телеметрията показа рязко увеличаване на използването на инструмента за команден ред на Windows Management Instrumentation (WMIC) за стартиране на скрипт (техника, към която се отнася MITER XSL обработка на скриптове), показваща безфайлова атака

Какво е Астарот до сега?

В нов доклад, Cisco Talos казва, че Astaroth все още разчита на имейл кампании за разпространение, изпълнява без файлове и живее извън земята (LOLbins). Лошата новина е, че също така получи три нови големи актуализации, цитирани от доклада на Cisco Talos:

• Astaroth прилага силна серия от техники за анализ / избягване, сред най-задълбочените, които сме виждали напоследък.
• Astaroth е ефективен при избягване на откриването и гарантира с разумна сигурност, че се инсталира само на системи в Бразилия, но не и на пясъчници и системи за изследователи.
• Новото използване на канали в YouTube за C2 помага да се избегне откриването, като се използва често използвана услуга на често използвани портове.

Какво е Astaroth и как работи?

Ако не сте знаели, Astaroth е добре познат зловреден софтуер, фокусиран върху кражба на чувствителна информация като идентификационни данни и други лични данни и изпращането им обратно на нападателя.

Въпреки че много потребители на Windows 10 имат анти-зловреден или антивирусен софтуер, без файловата техника прави зловредния софтуер по-труден за откриване. Ето схемата на операционните системи за това как работи атаката:

Много интересно нещо е, че в процеса на атака не участват никакви файлове, освен системните инструменти. Тази техника се нарича живеещи от земята и обикновено се използва за лесно затваряне на традиционни антивирусни решения.

Как мога да защитя системата си срещу тази атака?

На първо място, уверете се, че вашият Windows 10 е актуален. Също така, уверете се, че вашият Защитна стена на Windows Defender работи и има най-новите актуализации на дефинициите.

---

Не се излагайте на ненужни рискове. Разберете защо Windows Defender е единствената бариера срещу зловреден софтуер, от която се нуждаете!

---

Ако сте потребител на Office 365, ще се радваме да знаете, че:

За тази кампания на Astaroth,Office 365Разширена защита срещу заплахи (Office 365ATP) открива имейлите със злонамерени връзки, които стартират веригата на инфекцията.

За щастие Astaroth е насочен главно към Бразилия, а имейлите, които ще получавате, са на португалски. Въпреки това, бъдете нащрек за това.

Както винаги, за повече предложения или въпроси потърсете раздела за коментари по-долу.