RU EN
Надежно защищен только выключенный компьютер.
Евгений Касперский
Специалист по информационной безопасности
Опасный троян распространяется через PowerPoint файлы и PowerShell
07 Июн. 2017

Выполнение полезной нагрузки осуществляется через PowerShell-сценарий вместо обычного макроса.

imageИсследователи из антивирусной компании SantinelOne обнаружили любопытную технику распространения вредоноса Zusy с помощью PowerPoint-презентации. В отличии от стандартного выполнения кода посредством макросов, вредонос использует PowerShell-сценарий для выполнения кода.

PowerPoint-презентация с вредоносом распространяется посредством спам рассылки с темой писем “Purchase Order #130527” или “Confirmation”.

После открытия файла вместо обычного макроса, свойственного подомным кампаниям, на экране отображается строка “Loading…Please wait”. 

Запуск PowerShell-сценария осуществляется при наведении мыши на надпись. Встроенные механизмы защиты Microsoft Office не позволяют сценарию запуститься автоматически. В большинстве случаев пользователю будет выведено сообщение с запросом на разрешение запуска внешнего приложения:

 

 

Вредонос обращается к C&C-серверу используя доменное имя cccn.nl (IP: 46.21.169.110).

С полной версией отчета можно ознакомиться здесь.

securitylab.ru

Спасибо за доверие!

Специалист свяжется с Вами в ближайшее время.