Архив

STAPLE.A: в «диком виде» появился новый интернет-червь

VBS_STAPLE.A (aka VBS_INJUSTICE.A) — новый интернет-червь, написанный на языке Visual Basic Script. Для своего распространения использует Microsoft Outlook и рассылает свои копии с зараженного компьютера по первым 50-ти адресам, найденным в адресной книге Outlook.

После выполнения вирусного скрипта в системный каталог Windows на инфицированный компьютер записывается копия червя
с именем injustice.TXT.vbs. Затем червь выводит на дисплей message box с заголовком «HELP US TO STOP THE BLOOD SHED!!» и текстом:


PLEASE ACCEPT MY APOLOGIES FOR DISTURBING YOU.

Remember that one day YOU may be in this situation. We need
every possible help. Israeli soldiers killed in cold blood 12 year old Palestinian child Mohammad Al-Durra, as his father tried to protect him in vain with his own body. As a result of the indiscriminate and excessive use of machine gun fire by Israeli soldiers, journalists and bystanders watched helplessly as the child was savagely murdered. Palestinian Red Crescent Society medic Bassam Balbeisi attempted to intervene and spare the child’s life but live ammunition to his chest by Israeli fire took his life in the process. The child and the medic were grotesquely murdered in cold blood. Mohammad’s father, Jamal, was critically injured and permanently paralyzed. Similarly, approximately 40 children were slain, without the media taking notice or covering these tragedies.

THESE CRIMINAL ACTS CANNOT BE FORGIVEN OR FORGOTTEN!!!!
HELP US TO STOP THE BLOOD SHED!!

После этого червь производит рассылку своих копий в виде вложений в сообщения электронной почты по первым 50-ти адресам из адресной книги Microsoft Outlook с зараженного компьютера.

Характеристики сообщения червя:

Тема: «RE:Injustice»
Тело: Dear [имя получателя],
Did you send the attached message, I was not expecting this from you !
Имя вложения: injustice.TXT.vbs


пример сообщения червя

Затем червь меняет значение ключа системного реестра, чтобы его сообщения рассылались получателям лишь однажды:

«HKEY_CURRENT_USERSoftwareMicrosoft
WAB»&malead,1,»REG_DWORD»

Червь также посылает вышеупомянутые сообщения с вложенной копией себя по следующим адресам:

sar@mod.gov.il
sar@mops.gov.il
sar@moin.gov.il
yor@knesset.gov.il
webmaster@israel.com
amuta@ehudbarak.co.il
foundation@habonimdror.org,
wlzm@jazo.org.il
office@JAFI.org.il
naamatusa@naamat.org

info@azm.org
arie@kba.org
ncli@laborisrael.org
holyland@inisrael.com
sar@mof.gov.il
hachnasot@mof.gov.il
doar@mof.gov.il
mafkal@police.gov.il
yor@knesset.gov.il
rmarkus@parliament.gov.il
doar@shaam.gov.il
sar@mops.gov.il
hashkal@mof.gov.il
pniotmas@mof.gov.il
menahel@shaam.gov.il

Затем, используя Internet Explorer, червь пытается открыть следующие сайты:

http://www.sabra-shatila.org/
http://www.petitiononline.com/palpet/petition.html
http://www.palestine-info.org
http://freesaj.org.uk/
http://hanthala.virtualave.net/
http://www.ummah.net/unity/palestine/index.htm

В теле червя содержатся следующие комментарии:

перед процедурой рассылки сообщений:

‘ Only to 50 entries — not to disturb network and mail servers —

а также в конце вирусного кода:

‘Note:
‘Do not worry. This is a harmless virus. It will not do any thing to your system.
‘The intension is to help Palestinian people to live in
PEASE in their own land.
‘S/N : 881844577469

STAPLE.A: в «диком виде» появился новый интернет-червь

Ваш e-mail не будет опубликован.

 

Отчеты

Таргетированная атака на промышленные предприятия и государственные учреждения

Эксперты Kaspersky ICS CERT выявили волну атак на предприятия и государственные учреждения нескольких стран Восточной Европы и Афганистана. В ходе исследования выявлено вредоносное ПО, ранее использованное в атаках, которые другие исследователи отнесли к APT TA428.

ToddyCat: неизвестная APT-группа, нацеленная на организации Европы и Азии

ToddyCat является относительно новой APT-группой, ответственной за серии атак на высокостатусные организации Европы и Азии. Два ключевых отличительных признака этой группы — ранее неизвестные инструменты, которые мы назвали «бэкдор Samurai» и «троянец Ninja».

Lazarus распространяет протрояненный DeFi-кошелек

Недавно мы обнаружили протрояненное DeFi-приложение, которое имплантирует в систему полнофункциональный бэкдор. Проанализировав этот бэкдора, мы обнаружили многочисленные совпадения с другими инструментами группы Lazarus.

MoonBounce: скрытая угроза в UEFI

В конце 2021 года мы обнаружили прошивку UEFI, в которую был внедрен вредоносный код, названный нами MoonBounce. В данном отчете мы подробно опишем принцип действия импланта MoonBounce и его связь с APT41.

Подпишитесь на еженедельную рассылку

Самая актуальная аналитика – в вашем почтовом ящике