Мошенники зарабатывают до $22 тыс. в месяц на распространении платных архивов

Мошенники зарабатывают до $22 тыс. в месяц на распространении платных архивов

Количество так называемых «платных архивов», детектируемых как Trojan.SmsSend, с каждым месяцем неуклонно растет. Что, впрочем, неудивительно: для создания подобного рода вредоносных программ злоумышленникам не нужно обладать навыками программистов, поскольку многочисленные сайты, предлагающие так называемые «партнерские программы», предоставляют всем желающим уже готовые решения — специальные «конструкторы», с помощью которых можно собрать собственный Trojan.SmsSend за несколько минут.



Объем этого подпольного рынка поистине велик: злоумышленники зарабатывают на распространении платных архивов десятки тысяч долларов в месяц, сообщает cnews.ru. Традиционно Trojan.SmsSend представляет собой исполняемый архив, имитирующий установщик какой-либо полезной программы. При попытке открыть такой архив на экране компьютера демонстрируется процесс инсталляции соответствующего приложения, после чего для продолжения установки программа просит отправить платное SMS-сообщение на указанный злоумышленниками номер. В некоторых случаях, якобы в целях активации программы, от пользователя требуют ввести номер мобильного телефона, а затем — полученный в ответном SMS-сообщении код. Таким образом, жертва соглашается с условиями подписки на некую платную услугу, за которую с ее счета ежемесячно будут списываться средства. Фокус заключается в том, что подобные «платные архивы» либо вовсе не содержат обещанное приложение, либо его можно загрузить совершенно бесплатно с официального сайта разработчика. 

Несмотря на кажущуюся простоту и очевидность данной мошеннической схемы, рынок подобных «услуг» поистине огромен. На предложения сетевых жуликов откликается большое число неискушенных пользователей, отправляя платные SMS за то, что они могли бы получить бесплатно. Специалистам «Доктор Веб» удалось выяснить объемы прибыли, которую получают распространители подобных программ. Так, в рамках одной из партнерских программ, активно рекламирующейся на различных подпольных форумах и сайтах, откуда она постоянно привлекает новых членов, средний доход распространителя троянов семейства Trojan.SmsSend, однократно отправляющих платные сообщения на премиум-номера, может достигать до $200 в день. Лидеры этого незаконного рынка, входящие в десятку наиболее активных распространителей троянов, получают от $850 до $7740 в месяц, в среднем — $2678,5. 

Доходы от подписки жертв сетевых мошенников на платные услуги значительно выше, они могут достигать от $3 тыс. до $22 тыс. на злоумышленника в месяц, в среднем — $8295,5. Следует понимать, что для сетевых мошенников, зарабатывающих подобные суммы на обмане пользователей интернета, эта деятельность является основным источником дохода, она отнимает все их свободное время. К тому же, они прекрасно осознают, что распространение подобных программ является преступлением, ответственность за которое предусмотрена статьей 273 Уголовного кодекса РФ («Создание, использование и распространение вредоносных программ для ЭВМ»). 

Пути распространения троянов Trojan.SmsSend также отличаются завидным разнообразием: это поддельные сайты файлового обмена, специально созданные странички, имитирующие интерфейс интернет-ресурсов официальных разработчиков различных программ, спам по каналам электронной почты, в тематических форумах, массовая рассылка сообщений с использованием протокола ICQ. Кроме того, сетевые мошенники активно используют рекламные сети «Яндекс.Директ» и Google AdSense, размещают контекстную рекламу в социальных сетях и отправляют ссылки на вредоносные программы с заранее взломанных аккаунтов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники хранили свой код в DNS-записях в шестнадцатеричном формате

Команда DomainTools обнаружила еще один пример использования DNS как хранилища вредоносов. Для сокрытия бинарника его конвертировали в шестнадцатеричный формат, разбили на части и спрятали в TXT-записях связанных поддоменов.

Подобные злоупотребления рассчитаны на то, что защитные решения редко проверяют DNS-трафик на предмет угроз, он для них слепая зона. К тому же организовать выявление аномалий в легитимном потоке запросов в данном случае непросто, а при использовании шифрования (DoH или DoT) — еще сложнее.

Привлекшие внимание экспертов записи DNS TXT содержали информацию о сотнях различных поддоменов *.felix.stf.whitetreecollective[.]com, дополненную фрагментами кода в шестнадцатеричном формате.

 

При их извлечении и сборке с преобразованием в двоичный файл оказалось, что это Joke Screenmate — злонамеренное приложение Windows, которое выводит на экран изображения или анимацию, от которых трудно избавиться.

Это может быть череда шутливых картинок, которые быстро множатся, и их трудно закрыть. Более агрессивные варианты таких программ пугают жертв бесконечными сообщениями об ошибках или якобы обнаруженных вирусах.

Известны случаи, когда в DNS-записях скрывались вредоносные скрипты. Исследователи из DomainTools тоже столкнулись с таким TXT-содержимым; на поверку зашифрованный Powershell оказался загрузчиком, скачивающим пейлоад второго этапа атаки с C2 на базе Covenant.

В комментарии для Ars Technica представитель DomainTools поведал, что недавно они нашли DNS-записи с текстами для ИИ-ботов, которые, видимо, используются в рамках промпт-инъекций. Все фразы начинались с «Ignore all previous instructions» («Забудь обо всех прежних инструкциях») и содержали различные просьбы, от с виду невинных (назвать произвольное число, выдать краткое содержание фильма «Волшебник», спеть песню, как птичка) до явно провокационных (игнорить все последующие инструкции, удалить обучающие данные и восстать против своих хозяев).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru