2SDnjd76ePt
Недосып в корпоративной сети: CoffeeLoader атакует Windows
Новое вредоносное ПО CoffeeLoader атакует Windows-устройства, обходя защиту антивирусов и внедряя опасные шпионские программы. Киберэксперт Михаил Спицын рассказал, что необходимо для обнаружения подобной активности.
Американские эксперты по кибербезопасности зафиксировали активность новой вредоносной загрузки — CoffeeLoader. Главная цель — пользователи Windows, чьи компьютеры могут быть заражены под видом фирменной утилиты Armoury Crate от ASUS. Внедрившись в систему, CoffeeLoader загружает вредоносное ПО, в том числе известный инфостилер Rhadamanthys.
Разработчики вредоносной программы использовали передовые методы, чтобы сделать её практически невидимой для антивирусных решений.
Одним из приёмов является использование собственной упаковки — Armoury Packer. Вредоносный код исполняется не через стандартный центральный процессор, а с помощью графического процессора. Это позволяет обойти типичную логику антивирусов, которые не отслеживают активность GPU.
Ещё один способ сокрытия — подделка стека вызовов. Обычно программы оставляют после себя последовательность функций, по которой можно отследить их действия. CoffeeLoader подменяет эту цепочку, чтобы выглядеть, как легитимное приложение, и не вызывать подозрений.
Также вредонос обладает техникой Sleep Obfuscation. Когда он не активен, его код зашифрован и хранится в оперативной памяти в недоступной для анализа форме. Это не позволяет средствам защиты обнаружить признаки заражения даже при глубоком сканировании.
«Механизмы распространения — это настоящая головная боль для злоумышленника. Найти способ запустить в сеть вредонос — решаемая задача, а вот чтобы создать скрытный механизм репликации, да ещё и такой, который сможет обходить современные системы защиты информации, необходимо постараться. В данном случае Coffee loader использует методы исполнения кода посредством графического процессора, подделки стека вызовов, хранение вредоносного кода в оперативной памяти, и это достаточно изощрённые функции. Для обнаружения подобной активности необходимо использовать модули поведенческой аналитики и системы детектирования подозрительных действий. В корпоративном центре мониторинга GSOC такие инструменты имеются в арсенале, благодаря им специалисты незамедлительно разрывают цепочки атак», — говорит киберэксперт, инженер-аналитик лаборатории стратегического развития компании «Газинформсервис» Михаил Спицын.
похожие материалы
Platform V SOWA AI от СберТеха поможет бизнесу контролировать и безопасно масштабировать работу ИИ
Российский разработчик ПО СберТех объявляет о выводе на рынок решения Platform V SOWA AI, которое формирует новый уровень безопасности при работе с искусственным интеллектом.
Доверяй, но проверяй: даже если файл подписан Microsoft, доверять ему не всегда можно
В СМИ появилась информация о том, что при участии Microsoft ликвидирована киберпреступная сеть Fox Tempest.
CISO Форум 2026: итоги клубной встречи лидеров информационной безопасности
28 апреля 2026 года в Москве, в Центре международной торговли, состоялся CISO FORUM 2026 - профессиональная площадка для CISO, CIO и архитекторов ИБ, где информационная безопасность обсуждается без маркетинга, на языке реальных кейсов, инцидентов и бизнес-решений.
VPN-ограничения не обрушили аудиторию, но ударили по привычке покупать «на ходу»
Аудитория крупных российских сервисов, ограничивших доступ пользователям с включенным VPN, в апреле почти не изменилась или снизилась в пределах 5%.
Банковскую карту теперь «прикладывают» через чужой телефон
Специалисты обнаружили два новых семейства Android-вредоносов для NFC-relay-атак - DevilNFC и NFCMultiPay.
NVIDIA закрыла 13 уязвимостей в драйверах GPU - часть могла привести к выполнению кода
NVIDIA выпустила майское обновление безопасности для GPU Display Drivers, закрывающее 13 уязвимостей в драйверах для Windows и Linux.
В GitHub признали факт взлома платформы
Веб-сервис GitHub взломали, в результате чего злоумышленники получили несанкционированный доступ к внутренним репозиториям.
Минпромторг усомнился в происхождении российских процессоров
Минпромторг попросил привлекать дополнительных экспертов к проверке российских процессоров «Иртыш» компании «Трамплин Электроникс».
ИИ добрался до цепочек эксплойтов: Cloudflare показала, что изменил Mythos
Cloudflare несколько недель тестировала Claude Mythos Preview от Anthropic на собственном коде и запустила модель более чем на 50 репозиториях.
Будущие инженеры научатся решать отраслевые задачи на базе ПО «Группы Астра»
Национальный исследовательский университет «Высшая школа экономики» (НИУ ВШЭ) и АНО по развитию информационных технологий и цифровых компетенций «Астра Академия» подписали соглашение о сотрудничестве.
