Обнаружен вредонос маскирующийся под локальный порт Windows

Компания Eset обнаружила вредоносный загрузчик DePriMon, который способен создавать новые локальные порты с именем Windows Default Print Monitor. За счет сложности и модульной архитектуры обнаруженное ПО можно считать целой программной платформой.

По данным телеметрии Eset, обнаруженный вредонос действовал с марта 2017 г. В ряде случаев DePriMon распространялся вместе с программным обеспечением, принадлежащим группировке киберпреступников Lamberts. Это ПО также связано с известной утечкой информации из хранилища ЦРУ – Vault 7.

Зловред DePriMon обладает расширенным функционалом и прогрессивной архитектурой: программа загружается в память и выполняется в виде DLL-файла. При этом файл не сохраняется на диске. В то же время DePriMon имеет расширенную конфигурацию с набором интересных компонентов и шифрование, которое эффективно защищает его соединение с командным сервером (C&C).

Как отмечается, DePriMon – мощный, гибкий и устойчивый инструмент, предназначенный для загрузки и выполнения компонентов, а также для сбора информации о системе и пользователе. Примечательно, что данное ПО – первый пример вредоноса вида Port Monitors, который обнаружен в реальной среде.

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365