Специалисты Microsoft остановили малварь, заразившую более 400 000 устройств за 12 часов

Специалисты компании Microsoft рассказали, что в начале марта 2018 года Windows Defender помог остановить распространение малвари Dofoil (она же Smoke Loader), заразившей майнером более 400 000 устройств за 12 часов.

Атака началась 6 марта 2018 года. Сотрудники команды Windows Defender Research пишут, что еще до полудня они зафиксировали более 80 000 попыток заражения, заблокированных Windows Defender. Во всех случаях пользователей атаковали «сложные трояны, демонстрировавшие продвинутые кросспроцессинговые техники внедрения, механизмы персистенции, а также методы уклонения от обнаружения». В частности, в отчете специалистов упоминается техника Process Hollowing. Данная методика внедрения кода предполагает создание нового экземпляра легитимного процесса и последующую подмену легитимного кода вредоносным.

Как уже было сказано выше, за 12 часов было замечено свыше 400 000 попыток заражения, 73% из которых пришлись на Россию, 18% на Турцию, а еще 4% на Украину. О способе распространения вредоносов, который позволил злоумышленникам охватить столь широкую аудиторию за такое небольшое время, ничего не сообщается.

Майнинговая малварь маскировалась под легитимные бинарники Windows, чтобы избежать обнаружения. Также злоумышленники использовали блокчейн Namecoin для работы управляющих серверов вредоноса. Специалисты пишут, что за оперативное обнаружение масштабной атаки следует благодарить Windows Defender и «облачные» технологии машинного обучения, которые способны распознавать угрозы, основываясь на их поведении, за считанные минуты.

Сообщается, что в основе Dofoil лежит кастомизированный манер, пригодный для «добычи» различных криптовалют, однако неизвестные злоумышленники нацеливались только на криптовалюту Electroneum.

Стоит сказать, что специалисты компаний PandaLabs, F-Secure и ESET отнеслись к заявлениям Microsoft скептически. Эксперты отмечают, что предотвратить подобную «эпидемию» мог любой современный антивирус, а также задаются вопросом, как изначально были скомпрометированы сотни тысяч компьютеров, защищенные решениями Microsoft?

Источник