👍 Эксперты обнаружили, что хакеры заменяют Sliver и Cobalt Strike на Winos4.0, распространяемый через вредоносные игровые утилиты. Инструмент был замечен летом 2024 года при атаках на китайских пользователей.

⬇️ Хакеры используют поддельные VPN и Chrome, содержащие вредоносный компонент. После установки легитимной программы, загружаемой с сайта ad59t82g, запускается многоэтапный процесс заражения, включающий создание файлов и записей в реестре Windows, загрузку шелл-кода для соединения с управляющим сервером, а также обновление адресов серверов.

🔈 Исследователи предполагают, что DLL «学籍系统» может быть нацелена на образовательные учреждения. Завершает процесс модуль «登录模块.dll», который собирает информацию о машине жертвы, проверяет наличие антивирусного ПО, собирает данные о криптовалютных кошельках, поддерживает бэкдор-соединение и крадет данные. Winos4.0 также проверяет наличие защитных инструментов и корректирует своё поведение в зависимости от их наличия. Fortinet считает, что Winos4.0 является мощным инструментом для контроля над взломанными системами и функционально близок к Cobalt Strike и Sliver.

Подробнее: https://extrim-security.ru/news-ib/tpost/r4tg4xnhg1-winos40-novii-instrument-hakerov-dlya-ko