Атаки Fluffy Wolf бюджетны и незатейливы: готовый стилер, бесплатный RAT

Атаки Fluffy Wolf бюджетны и незатейливы: готовый стилер, бесплатный RAT

Атаки Fluffy Wolf бюджетны и незатейливы: готовый стилер, бесплатный RAT

Выявлена еще одна кибергруппа, действующая на территории России, — Fluffy Wolf. Злоумышленники рассылают в организации письма, приносящие вредоноса Meta Stealer и инструмент удаленного администрирования Remote Utilities.

По словам BI.ZONE, данная группировка активна как минимум с 2022 года и провела не менее 140 атак на российские компании. Своих наработок у Fluffy Wolf нет, она использует хорошо известные приемы и готовые инструменты.

Тем не менее подобные схемы до сих пор эффективны: вредоносные вложения и ссылки, по данным экспертов, до сих пор открывают порядка 5% корпоративных пользователей в России. Подобная неосмотрительность только на руку злоумышленникам: они получают точку входа в сеть организации; видимо, поэтому 68% целевых атак начинаются с фишинговой рассылки.

В ходе одной из недавних кампаний Fluffy Wolf рассылала письма от имени строительной организации, обозначив тему как «Акты на подпись». В названии прикрепленного архива был указан пароль, содержимым оказался вредоносный файл, замаскированный под заявленный документ.

При его открытии на машину жертвы устанавливались Meta Stealer и легитимный Remote Utilities. Получив контроль над устройством, авторы атаки могли отслеживать действия пользователя, выгружать файлы, выполнять команды, работать с диспетчером задач.

«Злоумышленники приобретают Meta Stealer на теневых форумах или в специальном телеграм-канале, — рассказывает руководитель BI.ZONE Threat Intelligence Олег Скулкин. — Арендовать стилер на месяц можно за 150 долларов. Стоимость лицензий на легитимное ПО Remote Utilities зависит от задач покупателя, но есть возможность воспользоваться бесплатной базовой версией. Все это делает себестоимость атаки крайне низкой и позволяет реализовывать успешные атаки даже злоумышленникам с невысоким уровнем подготовки».

Ранее в атаках Fluffy Wolf засветились и другие зловреды — например, троян WarZone RAT. В отдельных случаях на машины жертв устанавливался криптомайнер XMRig. Учетные данные злоумышленники могут воровать с разными целями, в том числе для продажи готового доступа к сетям. Подобная услуга пользуется спросом на черном рынке, особенно охотно ею пользуются операторы шифровальщиков.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Pixnapping: скрытая атака на Android, которая читает пиксели экрана

Учёные придумали новый трюк под названием Pixnapping, который позволяет злонамеренному приложению на Android фактически «снять» то, что показывают другие приложения, — 2FA-коды, сообщения, таймлайны местоположений и всё прочее, что видно на экране.

Главное — жертве нужно только установить вредоносное приложение; для успешной атаки такому софту не требуются системные разрешения.

Как это работает: сначала программа вызывает целевое приложение так, чтобы то отрендерило на экране нужную информацию (например окно с кодом).

Потом вредонос буквально «рисует» поверх и меряет маленькие различия во времени рендера отдельных пикселей — по этим таймингам он понимает, белый пиксель был или нет, и восстанавливает изображение по пикселю.

В итоге можно собрать, скажем, шестизначный 2FA-код или часть переписки — не мгновенно, но достаточно быстро, чтобы это представляло реальную угрозу в ряде случаев.

Исследователи показали вектор атаки на нескольких моделях смартфонов. В ряде случаев метод оказался достаточно быстрым, чтобы за 20–25 секунд восстановить код; на других — были помехи и скорость падала.

Разработчики платформ и производители смартфонов уже выпустили обновления, которые частично снижают риск, но учёные предупреждают, что атака может эволюционировать и обойти начальные фиксы.

Стоит заметить, что в реальной жизни реализовать Pixnapping не так просто: нужны тонкая настройка, подходящая модель устройства и время. Это не массовая эпидемия типа «вирусной» СМС-рассылки, но уязвимость серьёзная, потому что ломает базовое предположение — «одно приложение не должно читать то, что видно в другом».

Что делать обычному пользователю:

  • Обновите Android и приложения до последних версий — производители уже начали выпускать патчи.
  • Ставьте приложения только из проверенных источников и внимательно читайте отзывы.
  • Удаляйте или блокируйте подозрительные программы.
  • По возможности используйте более защищённые способы входа (аппаратный ключ безопасности вместо СМС- и 2FA-кодов там, где это поддерживается).

В общем, Pixnapping — интересный и тревожный пример того, как можно обойти привычные границы между приложениями, играя на особенностях рендеринга и времени. Паниковать не стоит, но обновлять версию ОС смартфона и быть внимательнее с незнакомыми apk — обязательно.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru