11.08.2012 Новости, БезопасностьКорпорация Symantec сообщила об обнаружении нескольких целевых этак, использующих вредоносную программу Backdoor.Korplug, появившуюся в марте 2012 г. Атака осуществляется путем отправки жертве электронного сообщения со специальным вредоносным вложением. Такой сценарий давно известен, но Backdoor.Korplug использует интересную технику самозапуска, прикрываясь доверенным приложением. Чаще всего по данному сценарию вредоносное ПО доставляется жертве в виде ZIP-архива с паролем или в виде документа Microsoft Office в расчете на уязвимость Microsoft Windows Common Controls ActiveX Control Remote Code Execution Vulnerability (CVE-2012-0158). Известны случаи, когда злоумышленники использовали украденные из компаний легитимные сертификаты для придания большего доверия двоичному файлу. Korplug вместо этого прикрывается подписанной легитимной программой, осуществляя самозапуск в рамках привилегированного процесса. В случае типовой атаки вредоносный документ вкладывается в письмо и отправляется жертве. После открытия документа запускается эксплойт для уязвимости MSCOMCTL.OCX RCE, и в случае успеха на компьютер будет записана и запущена на исполнение основная часть вредоносной программы. Чтобы обмануть пользователя, одновременно открывается безопасный документ, предупреждающий о невозможности открыть содержимое якобы из-за использования устаревшей версии. Однако если пользователь использует последнюю версию Microsoft Word и применил все обновления, предоставленные Microsoft, он будет ...
читать далее.