Центр обновления Windows взломан для заражения ПК вредоносным ПО

Исследователи кибербезопасности из Malwarebytes обнаружили , что Lazarus, известная группа киберпреступников сумела взломать клиент Центра обновления Windows для распространения вредоносного ПО.

Центр обновления Windows взломан для заражения ПК вредоносным ПО. Фото: Pixabay

В сообщении в блоге, подробно описывающем их выводы, исследователи заявили, что расследуют фишинговую кампанию, выдавая себя за Lockheed Martin, американскую аэрокосмическую, оборонную, информационную и технологическую корпорацию.

Группа распространяла два файла — Lockheed_Martin_JobOpportunities.docx и Salary_Lockheed_Martin_job_opportunities_confidential.doc, явно предназначенные для людей, заинтересованных в получении работы в компании.

Сами документы содержали вредоносные макросы, которые при активации помещают файл WindowsUpdateConf.lnk в папку автозагрузки целевой конечной точки и файл DLL (wuaueng.dll) в папку Windows/System32.

После этого файл .lnk запускает клиент Центра обновления Windows, который, в свою очередь, запускает вредоносную DLL.

Из сообщения исследователей безопасности:

«Это интересный метод, используемый Lazarus для запуска своей вредоносной DLL с помощью клиента Центра обновления Windows», чтобы обойти антивирусные решения и другие механизмы безопасности. С помощью этого метода злоумышленник может выполнить свой вредоносный код через клиент Microsoft Windows Update, передав следующие аргументы: /UpdateDeploymentProvider, путь к вредоносной dll и аргумент /RunHandlerComServer после dll»

Исследователи призывают быть особенно осторожным при загрузке и запуске документов, приходящих по почте, особенно если они требуют активации макросов.

Startpack подготовил список популярных и эффективных антивирусных продуктов, которые помогают защитить IT-активы компании от заражения зловредами. Он содержит продукты российских и зарубежных разработчиков. Помимо защиты от вирусов, решения позволяют хранить и управлять паролями, разворачивать антиспам-системы, проводить резервное копирование данных, защищать не только персональные компьютеры, но и серверы, а также локальные сети предприятия.

Статьи по теме