«Медовые ловушки» для влюбленных в Интернете

«Медовые ловушки» для влюбленных в Интернете

Современный Интернет невозможно представить без всевозможных сайтов знакомств, популярность которых довольно высока. Сегодня каждый пятый российский интернет-пользователь ежедневно посещает такие ресурсы. Однако стремление найти вторую половинку умело используют в корыстных интересах многочисленные мошенники и брачные аферисты, которые расставили свои сети на просторах глобальной паутины. О том, как, поддавшись минутному увлечению, пользователи рискуют не только заразить компьютер вредоносной программой, но и потерять деньги, можно узнать в статье эксперта «Лаборатории Касперского» Татьяны Куликовой.

Огромная популярность сайтов знакомств, таких как mamba.ru, loveplanet.ru и других уже давно привлекает внимание злоумышленников. Практически на всех языках мира рассылается спам, замаскированный под сообщения от популярных сайтов знакомств. Пройдя же по ссылке из такого письма, пользователь, как правило, рискует вместо фотографий незнакомки или незнакомца загрузить на компьютер вредоносное ПО.

Нередко действия мошенников носят и целенаправленный характер. Так, например, в последнее время в Рунете распространялись письма с приглашением посетить сайты «для взрослых», якобы созданные специально для пользователей odnoklassniki.ru. Название рекламируемых ресурсов пародировало название этой социальной сети: odnopostelniki, odnokrovatniki. Чтобы зайти на такой сайт, надо было воспользоваться своим логином и паролем к «Одноклассникам». На деле же все подобные страницы создавались мошенниками с целью заполучить аккаунты пользователей известного социального ресурса.

Действия мошенников могут не только привести к потере важной информации, но и больно ударить по кошельку пользователя. Своих жертв злоумышленники зачастую ловят на сайтах, имитирующих стартовые страницы сайтов знакомств. Для регистрации на таком «ресурсе» или подтверждения своего возраста (старше 18 лет) пользователю нужно отправить на короткий номер SMS-сообщение стоимостью от 10 до 350 рублей. Однако после этого никакого доступа к контенту не предоставляется, поскольку его просто не существует.

Самая колоритная разновидность спамерских писем, не утратившая своей популярности у мошенников за многие годы, – так называемый «нигерийский спам». В данном случае злоумышленники могут отыскивать потенциальную жертву и среди тех, кто зарегистрировался на сайте знакомств.

Обычно сюжет таких писем строится на том, что к получателю обращается из далекой африканской страны влюбленная в него девушка, которая является к тому же и обладательницей миллионного состояния. Чтобы вывести из страны невесту и ее деньги, от будущего мужа требуется лишь определенная сумма на оплату адвокатских услуг. Такая тактика обычно предполагает длительную переписку. На первые письма претендентов на руку и сердце африканской красавицы отвечают роботы, но как только становится понятно, что у мошенников есть шанс поживиться, они сами включаются в переписку. Кроме писем от «нигерийских красавиц» в почте встречаются сообщения и от «русских невест», которым, в отличие от прекрасных жительниц Африки, не хватает денег, чтобы встретиться с мужчиной своей мечты, а потому они готовы принять пожертвования, как правило, для покупки билетов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Новый macOS-вредонос с подписью Apple Developer заменяет Ledger Live

Специалисты из Jamf Threat Labs нашли новый вариант вредоносной программы для macOS, которая умудрилась пройти все защитные механизмы Apple — она была и подписана, и заверена с использованием настоящего сертификата Apple Developer.

Вредонос назывался Gmeet_updater.app и притворялся обновлением для Google Meet. Распространялся через .dmg-файл — это классика для macOS.

Несмотря на то что приложение было «официально одобрено» Apple, для запуска всё равно использовалась социальная инженерия: жертве нужно было кликнуть правой кнопкой мыши и выбрать «Открыть» — обход Gatekeeper для неподписанных приложений, только тут подпись как бы была.

Программа запускала некое SwiftUI-приложение с названием «Technician Panel» — якобы для отвода глаз, а параллельно связывалась с удалённым сервером и подтягивала дополнительные вредоносные скрипты.

Что делает этот инфостилер:

  • ворует пароли из браузеров (Safari, Chrome, Firefox, Brave, Opera, Waterfox);
  • вытаскивает текстовые файлы, PDF, ключи, кошельки и заметки Apple;
  • охотится за криптокошельками (Electrum, Exodus, Atomic, Ledger Live);
  • делает слепок системы с помощью system_profiler;
  • заменяет приложение Ledger Live на модифицированную и не подписанную версию с сервера злоумышленника;
  • отправляет всё украденное на хардкоденный сервер hxxp[:]//45.146.130.131/log.

Кроме кражи, вредонос умеет задерживаться в системе: прописывает себя в LaunchDaemons, создаёт скрытые конфиги и использует второй этап атаки — постоянный AppleScript, который «слушает» команды с сервера злоумышленника. Среди них — выполнение shell-скриптов, запуск SOCKS5-прокси и самоуничтожение.

Вишенка на торте — базовая защита от анализа. Если вирус понимает, что его крутят в песочнице, он «молча» прекращает активность и в системе появляется фиктивный демон с аргументом Black Listed.

Jamf выяснили, что сертификат разработчика с ID A2FTSWF4A2 уже использовался минимум в трёх вредоносах. Они сообщили об этом Apple — и сертификат аннулировали. Но осадочек, как говорится, остался: зловред вполне мог обойти все базовые фильтры macOS.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru