Стеганография по-прежнему пользуется популярностью

Александр Панасенко 23 Ноября 2015 - 13:46

...

Сотрудники компании Crowdstrike и подразделения Dell SecureWorks представили доклад на конференции Black Hat Europe. Они рассказали, что стеганография по-прежнему не забыта злоумышленниками и остается надежными методом сокрытия данных.

Сама идея стеганографии не нова — первое упоминание этого термина относится к 1499 году, и уже тогда под этим подразумевалась передача информации путем сохранения в тайне самого факта передачи. Как ни странно, в наши дни стеганография не получила широкого признания в среде киберпреступников, хотя нельзя сказать, чтобы к ней не прибегли вовсе – такие случаи были, пишет xakep.ru.

Теперь исследователи из Crowdstrike и Dell SecureWorks утверждают, что стеганография переживает новый, заметный виток популярности в хакерской среде, и приводят примеры. Один из наиболее свежих образчиков применения стеганографии – DDoS-инструмент Foreign. Бот прячет команды в стандартных сообщениях об ошибке протокола HTTP. Foreign парсит страницу и сталкивается с обычной, на первый взгляд, ошибкой 404. На самом деле, в ошибке сокрыта C&C команда, закодированная с применением Base64 и спрятанная между тегами comment. Отследить такой обмен данными с командным сервером крайне затруднительно.

Также исследователи рассказали о даунлоудере Lurk, который скачивает на зараженные машины клик-фрод программы. Lurk впервые был замечен аналитиками еще в 2014 году, и тогда же даунлудер уличили в том, что он прячет URL, с которых получает контент, в .bmp файлах, то есть в картинках.

Банковская малварь Gozi (также известная как Vawtrak, Neverquest или Snifula) начала использовать стеганографию в начале текущего года и применяет ее в качестве «резервного механизма для получения URL, с которых может скачать файл конфигурации». Авторы трояна невероятно изобретательны, потому как зашифрованная информация хранится в файлах favicon.ico, которые хостятся в Tor. Об этом примечательном случае мы рассказывали весной текущего года.

Кроме того, в поле зрения исследователей попал вредонос Stegoloader, который работает по схожей с Lurk схеме. Малварь полагается в работе на специальный модуль, который скачивает изображения PNG, содержащие вредоносный код. В основном Stegoloader похищает системную информацию, но также может использоваться для загрузки дополнительных модулей, а после – для получения доступа к документам, списку установленных программ, кражи истории браузера и установки дополнительной малвари, которая, в свою очередь, похищает пароли.

Следующая главная новость »

Машинное обучение и ИИ в ИБ: где работает, а где — миф? Обсудим на эфире — регистрируйтесь!

Екатерина Быстрова 25 Февраля 2026 - 08:57

macOS Трояны Домашние пользователи

Бесплатные крякнутые аудиоплагины распространяют бэкдоры на macOS

Любовь к «крякнутым» плагинам для музыки может обойтись пользователям macOS очень дорого. Исследователи из Iru обнаружили масштабную многоэтапную кампанию, в рамках которой злоумышленники распространяют зловред под видом взломанных аудиоплагинов и профессионального музыкального софта.

Атака была зафиксирована 4 февраля 2026 года. Жертвами становятся в первую очередь музыканты, продюсеры и другие представители креативной индустрии — аудитория, которая часто ищет дорогие инструменты бесплатно.

Вместо «плагина мечты» пользователи получают инфостилеры и бэкдоры, включая Odyssey и MacSyncStealer.

Сценарий начинается с социальной инженерии. Злоумышленники распространяют вредоносные DMG-файлы, замаскированные под легитимные версии популярных музыкальных продуктов. Несмотря на то что файлы не подписаны (а это серьёзный тревожный сигнал для macOS), пользователи поддаются на уговоры и вручную обходят защитные предупреждения системы.

После запуска внутри DMG срабатывает цепочка вредоносных компонентов: бинарный загрузчик, bash-скрипт и дополнительные модули. Кампания отличается устойчивостью за счёт использования техники в стиле ClickFix. При запуске зловред пытается немедленно выполнить вредоносные скрипты, а затем может вывести всплывающее окно в браузере с «инструкцией» (якобы для завершения установки).

Пользователю предлагают вручную скопировать и вставить код в терминал или окно запуска. Так злоумышленники обходят встроенные механизмы защиты браузера и macOS, фактически заставляя жертву заразить систему собственными руками.

По данным Iru, инфраструктура атаки хорошо организована. Внутри DMG исследователи нашли Mach-O бинарник и bash-скрипт, которые запускают цепочку заражения. Зловред связывается с командным сервером (C2) через домен kuturu[.]com, используя уникальные API-ключи и токены для отслеживания статуса инфицирования.

Эксперты считают, что речь идёт не о разовой атаке, а о модели «Loader as a Service» — профессиональной платформе по распространению зловреда, доступной другим киберпреступникам. Кампания встроена в экосистему Pay-Per-Install (PPI), где злоумышленники получают вознаграждение за каждое успешно заражённое устройство. Креативная аудитория здесь особенно привлекательна: мощные компьютеры и ценные интеллектуальные наработки — лакомая цель.

Специалисты напоминают базовые, но по-прежнему актуальные правила: скачивать плагины только с официальных сайтов, не игнорировать предупреждения macOS о неподписанных приложениях и ни при каких обстоятельствах не вставлять в терминал код из всплывающих окон или «инструкций по активации».

Машинное обучение и ИИ в ИБ: где работает, а где — миф? Обсудим на эфире — регистрируйтесь!