Хакеры использовали антивирус для внедрения вредоносных компонентов через легитимные утилиты Windows

Эксперты Trend Micro обнаружили, что хакеры используют легитимный инструмент Windows под названием Microsoft Application Virtualization Injector («MAVInject.exe») для внедрения вредоносного кода в процесс «waitfor.exe», если на устройстве обнаружена работа антивируса ESET.

Атака начинается с загрузки нескольких файлов, включая легитимные исполняемые файлы, вредоносные компоненты и подставной PDF-документ, предназначенный для отвлечения внимания жертвы. В ходе атаки используется Setup Factory — инструмент для создания установщиков Windows, что помогает скрыть вредоносный код и обеспечить его незаметное выполнение.

«Злоумышленники эксплуатируют встроенные компоненты Windows для скрытого внедрения вредоносной нагрузки, реализуя цепочку техник, описанных в матрице MITRE ATT&CK. Последовательность действий не уникальна. Зачастую на этапе запуска обфусцированных вредоносных приложений антивирусные средства не способны детектировать первичные угрозы и подвергаются манипуляциям со стороны хакеров. Для недопущения подобных угроз поможет комплексная защита инфраструктуры, которую сможет обеспечить внедрение GSOC. Проактивный поиск угроз и автоматизированный анализа активности на каждом устройстве, в сочетании с инструментами поведенческого анализа и высококлассной экспертизы аналитиков SOC, обеспечивает гарантированное выявление атаки на первых этапах», - говорит эксперт «Газинформсервиса» Ирина Дмитриева.

*Trend Micro- международная компания в областикибербезопасности, специализирующаяся на защите от вредоносного программного обеспечения, угроз в интернете и прочих кибератак.