Исходное сообщение
"В рекламных сетях выявлено вредоносное ПО, скрытое в графиче..." Отправлено opennews, 07-Дек-16 09:36
Исследователи из компании ESET выявили (http://www.welivesecurity.com/2016/12/06/readers-popular-web.../) вредоносное ПО, в течении двух последних месяцев незаметно атаковавшее системы пользователей, распространяясь через рекламные блоки на популярных сайтах. Особенностью вредоносного ПО, получившего название Stegano (http://www.welivesecurity.com/2016/12/06/stegano-exploit-kit/), стало то, что используемый для атаки код был интегрирован в PNG-изображения при помощи методов стенографии. При помощи специальной формулы вредоносный JavaScript-код был преобразован в набор пикселей, который накладывался на имеющееся в PNG-файле изображение с корректировкой для наложенных пикселей уровня прозрачности, делающей изменения незаметными, но позволяющей при желании восстановить добавленный набор данных. В рекламные сети добавлялась PNG-картинка с сопутствующим JavaScript-кодом для формирования баннера (многие рекламные сети перешли на HTML5-баннеры и допускают выполнение JavaScript-кода, качество проверки которого  оставляет желать лучшего (https://www.opennet.ru/openforum/vsluhforumID4/489.html)). На первый взгляд код выглядел безобидно, но на деле в процессе обработки баннера восстанавливал спрятанный в него вредоносный JavaScript-блок и передавал ему управление. После активации вредоносный код инициировал отправку браузером пользователя запроса на специально подготовленный проверочный сервер, контролируемый злоумышленниками, который на основании имеющихся данных принимал решение о целесообразности продолжения атаки. При поступлении запроса от Internet Explorer выполнялась специальная проверка, использующая уязвимость в браузере (CVE-2016-0162) для подтверждения, что запрос поступил из системы реального пользователя, а не симулирован анализаторами трафика. Также осуществлялась попытка определения установки на системе пользователя антивирусного ПО, в случае выявления которого соединение обрывалось. Если запрос не вызывал подозрений, пользователь перенаправлялся на финальный этап атаки, в ходе которого загружался набор эксплоитов, пытающихся получить управление над системой при помощи  эксплуатации распространённых уязвимостей в Adobe Flash. URL: http://www.welivesecurity.com/2016/12/06/readers-popular-web.../ Новость: http://www.opennet.ru/opennews/art.shtml?num=45631