Киберпреступники изобрели новую технику распространения вредоносных программ,
которая позволяет обойти защитные шлюзы электронной почты и другие похожие меры безопасности.
Для успешной атаки злоумышленникам потребуется всего лишь специально созданный ZIP-файл.
Структура ZIP-архива состоит из сжатых данных, информации о сжатых файлах,
а в конце архива располагается специальная секция — каталог «End of Central Directory» (EOCD).
Именно эта секция определяет структуры архива. Специалисты компании TrustWave обнаружили спамерскую кампанию,
в которой письма маскировались под информацию о перевозках от компании USCO Logistics.
К письмам спамеры прикрепляют ZIP-архив с именем SHIPPING_MX00034900_PL_INV_pdf.zip.
Этот файл привлёк внимание исследователей, поскольку его размер был больше разархивированного содержимого.
«Вложение ‘SHIPPING_MX00034900_PL_INV_pdf.zip’ вызвало наши подозрения.
Размер самого ZIP-файла оказался больше размера разархивированного содержимого.
Обычно все наоборот», — гласит отчёт Trustwave. Изучив архив, эксперты пришли к выводу,
что злоумышленники специально создали его таким образом, чтобы он содержал две структуры,
у каждой из которых собственная EOCD-запись. В первой структуре находился файл-приманка order.jpg,
во второй — исполняемый файл SHIPPING_MX00034900_PL_INV_pdf.exe, оказавшийся на деле вредоносом NanoCore RAT.
Операторы спамерской кампании специально создали такой архив для обхода защитных шлюзов email,
которые в ходе рассылок анализировали лишь безобидную приманку.
Источник: https://www.anti-malware.ru/news/2019-11-08-1447/31244