Троян Rhadamanthys раздается в фейковых письмах о нарушении авторских прав

Троян Rhadamanthys раздается в фейковых письмах о нарушении авторских прав

Троян Rhadamanthys раздается в фейковых письмах о нарушении авторских прав

Эксперты Check Point выявили новую кампанию по распространению инфостилера Rhadamanthys. Ее авторы с июля прицельно рассылают письма от имени известных организаций, обвиняя получателей в нарушении авторских прав.

Для каждой адресной рассылки создается новый Gmail-аккаунт — по всей видимости, мошенники используют автоматизацию. Из-за этого иногда случаются нестыковки; так, одна из израильских компаний получила вредоносное письмо на корейском языке.

Злоумышленники имитируют десятки известных компаний, пытаясь сыграть на чувстве вины. По данным Check Point, в 70% случаев используется имя представителя ИТ-индустрии, рынка развлечений или СМИ.

Поддельные уведомления сопровождаются требованием в кратчайшие сроки удалить из соцсети контент, защищенный авторским правом и опубликованный без разрешения. Подробности и инструкции якобы приведены во вложении.

 

На самом деле этот файл по сути является ссылкой на сайт-редиректор, перенаправляющий браузер на Dropbox или Discord для загрузки запароленного архива (пароль указан в теле письма). В нем сокрыты маскировочный документ (ESPS или PDF), легитимный экзешник и DLL с модулями Rhadamanthys.

При запуске EXE-файл выполняет загрузку вредоносной библиотеки по методу DLL sideloading. После активации инфостилер записывает в папку «Документы» копию своей DLL значительно большего размера, выдавая ее за компонент Firefox (FirefoxData.dll), а также создает ключ реестра, чтобы закрепиться в системе.

Функционально обе копии идентичны, вторая отличается лишь весом, раздутым за счет добавления пустого оверлея. Скорее всего, такой трюк используется для обхода антивирусов: наличие бесполезных данных меняет хеш-сумму, к тому же некоторые сканеры не проверяют слишком тяжелые файлы.

Анализ новейшего образца Rhadamanthys (сборки 0.7) показал, что цепочка заражения мало изменилась. Его модули отдаются с C2 в виде WAV-файла (спрятаны по методу стеганографии) и загружаются в память credwiz.exe, OOBE-Maintenance.exe, openwith.exe, dllhost.exe или rundll32.exe.

 

При выпуске новой версии коммерческого стилера разработчики хватались, что реализовали распознавание текста с помощью ИИ. На поверку это оказался классический случай OCR, построенного на базе алгоритмов машинного обучения.

Новый компонент плохо справляется с разноцветными текстами, не читает рукопись и работает только с ходовыми шрифтами. Тем не менее, обновка помогает зловреду вытаскивать нужные данные из статических файлов — PDF, изображений.

Подвергнутый анализу OCR-модуль был снабжен списком из 2048 слов, похожих на пароли к биткоин-кошелькам. Не исключено, что операторы Rhadamanthys нацелились на кражу криптовалюты.

Вредоносные письма в рамках текущей кампании рассылаются в сотни организаций обеих Америк, Ближнего Востока, Европы и Юго-Восточной Азии. Эксперты полагают, что охват на самом деле шире: они отслеживают атаки лишь по своей клиентской базе.

Рынок резервного копирования в России разогнался до 10,6 млрд рублей

Российский рынок средств резервного копирования второй год подряд растёт быстрее всего сегмента инфраструктурного ПО. В 2025 году его объём достиг 10,6 млрд рублей, прибавив 18,5% против 16% у рынка в целом, следует из исследования Strategy Partners.

Доля отечественных решений в резервном копировании выросла с 19% в 2021 году до 70% в 2025-м.

Аналитики ожидают, что к 2030 году она достигнет 92%, а сам сегмент увеличится более чем вдвое — до 24 млрд рублей. Среднегодовой темп роста прогнозируется на уровне 17%.

Для сравнения: весь российский рынок инфраструктурного ПО в 2025 году оценили в 158 млрд рублей. За год он вырос на 16%, а доля российских разработчиков достигла 68% против 8% четырьмя годами ранее. При базовом сценарии объём рынка превысит 300 млрд рублей к 2030 году.

В сегменте резервного копирования ведущую позицию, по оценке Strategy Partners, сохраняет «Киберпротект» с продуктом «Кибер Бэкап». Среди других заметных российских решений аналитики выделяют RuBackup от «Группы Астра». Сам «Киберпротект» оценивает рынок выше — примерно в 12 млрд рублей, а собственную долю на нём в 56%.

Конкуренция тем временем переезжает от списка функций к совместимости. Заказчикам нужны системы, которые дружат с российскими платформами виртуализации, СУБД, Kubernetes, хранилищами и мониторингом, а не просто гордо складывают копии в отдельный угол.

Растёт и рынок программно-аппаратных комплексов: Strategy Partners прогнозирует увеличение со 116 млрд рублей в 2025 году до 249 млрд рублей к 2030-му.

RSS: Новости на портале Anti-Malware.ru