Windows-троян I2PRAT умело скрывает свое общение с C2-сервером

Windows-троян I2PRAT умело скрывает свое общение с C2-сервером

Windows-троян I2PRAT умело скрывает свое общение с C2-сервером

Эксперты G DATA опубликовали результаты анализа трояна удаленного доступа, которого от собратьев отличает использование анонимной сети I2P для C2-коммуникаций. Поскольку подобная маскировка большая редкость, находке было присвоено имя I2PRAT.

Как выяснилось, заточенный под Windows вредонос активен в интернете как минимум с марта этого года. Для его доставки может использоваться загрузчик PrivateLoader.

Атака начинается со спам-письма с вредоносной ссылкой. При переходе открывается фейковая страница с CAPTCHA и встроенным JavaScript — последнее время этот способ заражения набирает популярность.

 

В результате отработки скрипта в систему загружается лоадер. При активации он определяет, с какими привилегиями запущен процесс; если их недостаточно, уровень повышается до админа с использованием PoC-обхода UAC, разработанного в 2019 году участником Google Project Zero.

Вредонос также пытается нейтрализовать Microsoft Defender — отключить основные функции, заблокировать телеметрию и апдейты.

Инсталлятор RAT грузится в папку временных файлов и запускается на исполнение. Под компоненты трояна создается скрытая директория.

Основной модуль, main.exe, прописывается в системе как сервис. При активации он проверяет наличие обновлений в своей папке и приступает к загрузке плагинов (DLL) и запуску с помощью unit_init.

Два таких компонента отвечают за C2-связь. Один из них представляет собой I2PD, опенсорсный вариант клиента I2P, написанный на C++.

Остальные плагины используются для загрузки и эксфильтрации файлов, обеспечения поддержки RDP (в Windows Home, например, она отсутствует), добавления и удаления пользовательских аккаунтов и групп, диспетчеризации событий, создания запланированных задач.

Из последних обнаружены две: coomgr.exe ворует учетки из Google Chrome, sesctl.exe завершает сеансы указанных пользователей.

Касперская предложила посчитать, сколько россиян сидят в Telegram через VPN

Президент InfoWatch Наталья Касперская рассказала о любопытном диалоге с Роскомнадзором во время встречи ведомства с российскими разработчиками программного обеспечения. Главной темой неожиданно стала эффективность блокировок Telegram и других интернет-ресурсов.

По словам Касперской, она напрямую спросила представителя Роскомнадзора, считает ли ведомство такие меры успешными. Ответ был однозначным: да, считает.

После этого предпринимательница решила провести небольшой экспресс-опрос прямо в зале и поинтересовалась у участников встречи, кто из них пользуется Telegram. Руки подняли все присутствующие.

На это председательствующий, как утверждает Касперская, отреагировал фразой: «Ну что, тогда у вас и проблем нет».

История быстро разошлась по соцсетям. Сама Касперская признала, что ответ получился остроумным, но вопросов у неё меньше не стало.

«Я не перестаю думать о целесообразности траты времени и государственных средств на то, что вообще не работает», — написала она в своём телеграм-канале.

По мнению главы InfoWatch, специалисты Роскомнадзора прекрасно понимают технические возможности и ограничения современных сетей связи, поэтому вопрос эффективности подобных ограничений заслуживает отдельного обсуждения.

В качестве примера Касперская предложила провести независимое исследование. По её мнению, ВЦИОМ или Mediascope могли бы оценить, сколько россиян сегодня используют VPN и имеют доступ к Telegram, чтобы получить объективную картину происходящего.

Напомним, ранее Роскомнадзор неоднократно критиковал Telegram за несоблюдение требований российского законодательства.

RSS: Новости на портале Anti-Malware.ru