Сегодня 21 апреля 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Software

Обнаружен вредоносный загрузчик CoffeeLoader — он прячется от антивирусов на видеокарте и прибегает к другим уловкам

Обнаружена опасная программа CoffeeLoader — загрузчик вредоносного ПО, который скрывается от антивирусного программного обеспечения, используя набор хитроумных методов, вплоть до выполнения на видеокарте. Её обнаружили эксперты в области кибербезопасности компании Zscaler ThreatLabz.

 Источник изображения: threatlabz.zscaler.com

Источник изображения: threatlabz.zscaler.com

Чтобы оставаться незамеченным, CoffeeLoader прибегает сразу к нескольким ухищрениям: подменяет стек вызовов, использует обфускацию сна и применяет пользовательские потоки Windows. Стек вызовов можно описать как «хлебные крошки», в которых записывается, какие функции вызывала программа. Средства безопасности проверяют их, чтобы отследить поведение программы и выявить вредоносную активность, но CoffeeLoader подменяет эти «хлебные крошки», маскируя своё присутствие.

Обычно задача загрузчика вредоносного ПО состоит в том, чтобы проникнуть в систему и загрузить вредоносные программы — например, вымогатели или шпионское ПО. Обфускация сна помогает сделать код и данные вредоносного ПО зашифрованными, пока оно неактивно, то есть находится в состоянии сна. В незашифрованном виде фрагменты вредоносного кода появляются в памяти только при его выполнении. Для этого программа использует пользовательские потоки (fibers) Windows — контексты выполнения, переключение между которыми производится вручную.

Однако наиболее тревожным аспектом CoffeeLoader оказался упаковщик Armoury, код которого выполняется на графическом процессоре, что затрудняет его анализ в виртуальных средах. «После того как графический процессор выполняет функцию, декодированный выходной буфер содержит самомодифицирующийся шелл-код, который затем передаётся в центральный процессор для расшифровки и выполнения основной вредоносной программы», — сообщили в Zscaler ThreatLabz. Этот упаковщик используется для защиты полезных нагрузок у SmokeLoader и CoffeeLoader. На практике CoffeeLoader применялся для развёртывания шелл-кода Rhadamanthys в кампаниях по краже информации.

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
Atto представила сетевые адаптеры Celerity FC-644E с четырьмя портами FC64G и FastFrame N424 с четырьмя портами 25GbE 40 мин.
CoolIT представила 2-МВт блок распределения охлаждающей жидкости CHx2000 для ИИ и HPC ЦОД 48 мин.
Тайванцы предложили топить батареи электромобилей для лучшего охлаждения и ускорения зарядки 3 ч.
Представлен модуль Banana Pi BPI-CM6 — аналог Raspberry Pi CM4 на базе RISC-V 4 ч.
Представлен LG Smart Monitor Swing — смарт-монитор на колёсиках и webOS 4 ч.
Американское предприятие TSMC принесло компании в прошлом году $440 млн убытков 4 ч.
ASML продала часть земли в корейском Хвасоне, где собиралась построить совместный с Samsung исследовательский центр 5 ч.
Новая статья: Обзор видеокарты GIGABYTE GeForce RTX 5070 Ti GAMING OC 13 ч.
Huawei запустила первый в мире 10-гигабитный интернет — фильм в 8K скачается за минуту 17 ч.
Adata представила первую в мире карту памяти SD 8.0 Express — до 1600 Мбайт/с 18 ч.