Всем привет!

Давно мы не говорили об интересных техниках, связанных с модификацией реестра. Самое время исправиться!

Сегодня поговорим о Cruciferra - криптере, который детально разобрали в своем отчете Proofpoint.

ВПО модифицирует следующие параметры реестра:

- ToastEnabled в Software\Microsoft\Windows\CurrentVersion\PushNotifications

- Balloon в Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced

- ShowInfoTip в Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced

Все эти параметры отвечают за различные оповещения пользователя, соотвсетвенно, их модификация позволяет атакующим спрятать от жертвы в том числе оповещения средств защиты.

Таким образом, мы имеем еще несколько возможностей для обнаружения потенциально вредоносной активности:

event_type: "registryvaluesetwin"

AND

reg_key_path: ("toastenabled" OR "balloon" OR "showinfotip")

Скоро увидимся!

English version