По сети распространяется новый ботнет Kroxxu

Ксения Ренселаева 20 Ноября 2010 - 11:37

...

Специалисты вирусной лаборатории avast! предупреждают пользователей, о том, что в сети появился новый ботнет, целью которого являются исключительно пароли к FTP серверам. Предполагается, что за год своего существования бот зомбировал более миллиона компьютеров.

Согласно сообщению, обнаруженный ботнет Kroxxu распространяется исключительно через инфицированные сайты. Как пояснили эксперты вирусной лаборатории avast!, создатели, с его помощью, добывали пароли к административному аккаунту ресурса, а затем вносили изменения в контент. Кроме того, отмечается, что Kroxxu сильно отличается от своих собратьев.

Во-первых, свою активность он «умеет» хорошо скрывать. Для этого в боте используются, редиректоры (модули в прокси-серверах, отвечающие за фильтрацию и обработку адресов (URL) запросов от клиентов к серверам), которых было обнаружено более 10000. Суть данного процесса заключается в том, что ничего не подозревающий пользователь, заходя на легитимный сайт, может быть несколько раз перенаправлен с одного домена на другой, при этом конечной целью может являться сайт, находящийся в совершенно неожиданной доменной зоне.

Во-вторых, перекрестный процесс инфицирования, используемый Kroxxu, основан на том, что все его компоненты равны и взаимозаменяемы, и при чем они могут выполнять различные функции одновременно или поочередно. То есть, если один модуль использовался в качестве первого редиректора, он так же может использоваться как завершающий этап в процессе перенаправления, как поясняют эксперты. И это дает боту дополнительное преимущество для самоклонирования в огромных количествах.

Кроме того, присутствие Kroxxu на зараженных серверах может оказать влияние на методы блокирования URL, так как они должны распределяться между инфицированными доменами, управляемыми злоумышленниками и зомбированными сайтами.

Стоит заметить, что пока остается не ясным тот факт, каким образом с помощью этого ботнета злоумышленники могут получать материальную выгоду. Как заметил глава исследовательского отдела вирусной лаборатории avast! Иржи Сейтко, существует масса способов извлечения прибыли, наиболее популярными из которых являются, продажа места на зараженных серверах; продажа «добытых» аутентификационных данных; использование этого зловреда для распространения более прибыльных вредоносов или использование кейлоггеров.

Однако, учитывая то, что остальные ботнеты, скорей всего, будут использовать те же механизмы распространения и сокрытия своей деятельности, по мнению экспертов, необходимо пересмотреть правила обнаружения таких инфекций на сайте.

Следующая главная новость »

Итоги 2025 в ИБ: анализ рынка, тенденции и прогнозы в эфире AM Live. Регистрируйтесь по этой ссылке »

Екатерина Быстрова 20 Декабря 2025 - 21:25

Фишинг Атаки на сайты Кибервойны Кибершпионаж Целевые атаки Информационные войны Таргетированные атаки Государство

APT28 атаковала UKR[.]NET: фишинг, PDF и прокси ngrok

Кибергруппировка BlueDelta почти год вела масштабную кампанию по краже учётных данных пользователей UKR[.]NET — одного из самых популярных почтовых и новостных сервисов Украины. Атаки продолжались с июня 2024 года по апрель 2025-го и, по оценке аналитиков, стали заметным усилением разведывательной активности.

Об этом говорится в новом исследовании Insikt Group (Recorded Future). BlueDelta — она же APT28, Fancy Bear и Forest Blizzard — давно специализируется на фишинге и краже учётных данных.

Но после того как в начале 2024 года западные правоохранительные органы «прикрыли» часть её инфраструктуры, группа заметно прокачала свои методы.

Вместо скомпрометированных роутеров злоумышленники перешли на прокси-туннелирование через легальные сервисы — такие как ngrok и Serveo. Это позволило скрывать реальные серверы и продолжать операции практически без пауз.

По данным исследователей, BlueDelta развернула более 42 цепочек для сбора учётных данных, используя бесплатные веб-сервисы и хостинги. В ход шли:

поддельные страницы входа UKR[.]NET, размещённые через Mocky API;
бесплатные хостинг-провайдеры (DNS EXIT, Byet Internet Services);
обратные прокси и короткие ссылки для маскировки инфраструктуры.

Фальшивые страницы выглядели как настоящая форма входа UKR[.]NET и собирали:

логины и пароли;
коды двухфакторной аутентификации;
IP-адреса жертв.

Для этого использовался кастомный JavaScript, в том числе с передачей данных через HTTPBin. Отдельного внимания заслуживает приём с PDF-файлами, замаскированными под уведомления о подозрительной активности в аккаунте. Внутри — ссылка «для смены пароля», ведущая на фишинговую страницу.

Такой формат позволял: обходить почтовые фильтры, не попадать под песочницы и выглядеть максимально правдоподобно для пользователя. Это явно говорит о хорошем понимании корпоративных средств защиты.

Весной 2025 года аналитики заметили очередное обновление схемы атак:

переход с DNS EXIT на бесплатные поддомены ngrok;
появление серверов во Франции и Канаде для передачи данных;
использование тайпсквот-доменов вроде ukrinet[.]com и ukrainnet[.]com — на случай блокировок.

Интересная деталь: в код добавили заголовок ngrok-skip-browser-warning, который отключает предупреждения ngrok и делает прокси практически незаметным для пользователя.

Фокус на пользователях UKR[.]NET полностью укладывается в разведывательные задачи ГРУ. Кража учётных данных остаётся дешёвым и эффективным способом получить первичный доступ — а дальше возможны многоэтапные шпионские операции.

Исследователи считают, что BlueDelta продолжит такие кампании как минимум до 2026 года, делая ставку на анонимную, дешёвую и распределённую инфраструктуру.

Итоги 2025 в ИБ: анализ рынка, тенденции и прогнозы в эфире AM Live. Регистрируйтесь по этой ссылке »