Trojan.CobaltStrike.GT

Trojan.CobaltStrike.GT — это троян для Windows с уровнем опасности 8 из 10. Согласно данным из репозитория, он устанавливается незаметно и работает в фоновом режиме. Название намекает на связь с Cobalt Strike, инструментом, широко используемым злоумышленниками. В репозитории не указано, как этот образец используется на практике, поэтому подробности, выходящие за рамки приведенных ниже данных, описывают типичное поведение трояна.

Что делает эта угроза?

В описании говорится, что троянская программа работает незаметно в фоновом режиме и выполняет вредоносные функции. Она может предоставить хакерам полный контроль над зараженной системой. В описании также указано, что она может незаметно удалять файлы, но текст ленты после этого обрезается, поэтому полный список действий неизвестен.

Анализируемый образец обладает следующими техническими характеристиками:

• 64-битная нативная DLL-библиотека для Windows, экспортирующая функции (не приложение .NET).
• Создан как файл подсистемы консоли, а не упакован.
• Отсутствует цифровая подпись, отладочная информация и информация о перемещении.
• Вызывает напрямую низкоуровневые системные функции из ntdll.dll, включая функции для записи файлов, запроса и освобождения виртуальной памяти, а также запроса информации о процессе.

Прямое использование низкоуровневых системных вызовов часто встречается в программном обеспечении, которое пытается избежать использования инструментов мониторинга, хотя в данном случае цель не указана. Из 16 проанализированных блоков кода 11 были помечены как потенциально вредоносные, а 5 были внесены в белый список. Ни один из них не был обнаружен как неизвестный.

Как это обычно попадает на компьютеры

Согласно информации из ленты новостей, этот троян чаще всего попадает в страну одним из следующих способов:

• Путем использования системных уязвимостей и недостатков в системе безопасности.
• Через загрузку программного обеспечения с вредоносных веб-сайтов.
• Вложениями в электронные письма от ненадежных источников, обычно это файлы с расширениями .exe, .pif, .avi и даже .jpg.

Маскировка вредоносного файла под изображение или видео — типичный приём, позволяющий заставить людей его открыть.

Риски для пользователя

Главная опасность заключается в потере контроля над компьютером. Если злоумышленник получает полный доступ, типичные последствия использования таких троянов включают в себя:

• Кража личных данных, паролей и финансовой информации.
• Удаление или изменение файлов.
• Установка дополнительного вредоносного ПО.
• Использование ПК в качестве плацдарма для атаки на другие устройства в той же сети.

Эти результаты типичны для угроз удаленного доступа и не подтверждены для данного конкретного образца, за исключением удаления контрольных файлов и файлов, упомянутых в описании.

Признаки инфекции

Троянская программа разработана таким образом, чтобы оставаться незаметной, поэтому явных симптомов может не быть. Типичные признаки такой угрозы включают:

• Необъяснимые замедления работы или высокая активность процессора или сети.
• Файлы, которые пропадают или изменяются без объяснения причин.
• Запущены неизвестные процессы или DLL-файлы.
• Настройки безопасности изменяются без вашего участия.
• Неожиданные исходящие связи.

Поскольку симптомы часто отсутствуют, наиболее надежным способом проверки является полное сканирование с помощью современной, надежной антивирусной программы.

Как обеспечить свою безопасность

1. Регулярно обновляйте Windows и все установленное программное обеспечение, поскольку троянская программа может использовать известные уязвимости.
2. Загружайте программное обеспечение только из официальных источников и избегайте неизвестных веб-сайтов.

Если вы подозреваете заражение, отключите компьютер от интернета, выполните полное сканирование и смените важные пароли с чистого устройства. Если на ПК хранятся конфиденциальные данные, обратитесь за помощью к специалисту, поскольку злоумышленник мог получить полный удаленный доступ к системе.