⌨️ Новая волна атак, нацеленная на российский корпоративный сектор Бухгалтериям рассылают архив с файлом Задание_для_бухгалтера_02отдела.txt.lnk. Расчет строится на том, что условная Марьванна увидит знакомые слова, иконку текстового документа и рефлекторно кликнет дважды, запустив цепочку уничтожения всей инфры 💥 Внутри ярлыка спрятан запуск PowerShell с командой обхода политик выполнения. Это классический загрузчик, который тянет скрипт прямо с репозитория на GitHub. Малварь действует аккуратно... прячет черное окно консоли, создает в папке пользователя настоящий текстовый документ-приманку с инструкциями, открывает его, чтобы усыпить бдительность Марьванны, и тут же стучит в бот Телеги, докладывая хозяину об успешном запуске. Далее стартует VBScript. Он проверяет, есть ли у текущего пользователя права админа. Если прав нет, то запускается бесконечный цикл запросов. Окна контроля учетных записей (UAC) начинают выскакивать каждые 3 секунды, пока доведенная до истерики Марьванна не нажмет (Да), просто чтобы это прекратилось 🤬 Как только права получены, вирус начинает выжигать средства защиты. Через PowerShell отключается защита в реальном времени, а папки с временными файлами добавляются в исключения. Но самый прикольный трюк с использование утилиты Defendnot. Загрузчик внедряется в доверенный системный процесс Taskmgr.exe, который затем регистрирует в Центре безопасности Windows фейковый антивирус. Система видит новую защиту и сама, штатно отключает родной Defender, чтобы избежать конфликтов ПО 🎩 Закрепление и зачистка следов тоже выполнены на уровне параноика. Через реестр блокируются запуск Диспетчера задач, редактора реестра и командной строки. Командой reagentc убивается среда восстановления, а следом сносятся все теневые копии, чтобы вы не смогли откатить систему назад. В завершении закачивается троян Amnesia, который специализируется на краже сессий десктопной Телеги (папка tdata), сохраненных паролей браузеров и крипты. После кражи данных запускается шифровальщик Hakuna Matata, который полирует всё это дело тотальным локером системы ⚰️ Вот такая нехитрая получилась атака, которая на 90% состоит из легитимных админских действий (PowerShell, WMI, правка реестра) и трафика на белые ресурсы. Единственная реальная защита здесь - это жесткие политики ограничения программ, запрет запуска скриптов из папок пользователя и, конечно, лишение бухгалтерии прав... отберите же у них права локальных админов, если вы этого еще не сделали 😱 Типичный 🥸 Сисадмин