Троян PlugX маскируется под легитимный отладчик Windows в новой кампании
NewsMakerДействительная подпись ПО позволяет хакерам обходить средства защиты и устанавливать постоянство.
Исследователи безопасности из ИБ-компании Trend Micro обнаружили , что в новой кампании DLL Sideloading , которая заключается в загрузке вредоносной DLL-библиотеки из программного приложения с цифровой подписью, в данном случае из инструмента отладки «x64dbg» (x32dbg.exe).
Эксперты отметили, что действительная цифровая подпись «x32dbg.exe» может сбить с толку некоторые инструменты безопасности, позволяя злоумышленникам оставаться незамеченными, сохранять устойчивость, повышать привилегии и обходить ограничения на выполнение файлов.
Цифровая подпись x64dbg Устойчивость достигается за счет модификации реестра Windows и создания запланированных задач для обеспечения постоянного доступа даже после перезагрузки системы.
Анализ цепочки атак, проведенный Trend Micro, также выявил использование «x32dbg.exe» для развертывания бэкдора – клиента UDP-shell, который собирает системную информацию и ожидает дополнительных инструкций от удаленного сервера.
Несмотря на прогресс в технологиях безопасности, киберпреступники продолжают использовать технику DLL Sideloading, поскольку она эксплуатирует доверие к легитимным приложениям. Эта техника будет оставаться эффективной для доставки вредоносного ПО и получения доступа к конфиденциальной информации до тех пор, пока системы и приложения будут продолжать доверять и загружать DLL-библиотеки.