Стеганография по-прежнему пользуется популярностью

Александр Панасенко 23 Ноября 2015 - 13:46

...

Сотрудники компании Crowdstrike и подразделения Dell SecureWorks представили доклад на конференции Black Hat Europe. Они рассказали, что стеганография по-прежнему не забыта злоумышленниками и остается надежными методом сокрытия данных.

Сама идея стеганографии не нова — первое упоминание этого термина относится к 1499 году, и уже тогда под этим подразумевалась передача информации путем сохранения в тайне самого факта передачи. Как ни странно, в наши дни стеганография не получила широкого признания в среде киберпреступников, хотя нельзя сказать, чтобы к ней не прибегли вовсе – такие случаи были, пишет xakep.ru.

Теперь исследователи из Crowdstrike и Dell SecureWorks утверждают, что стеганография переживает новый, заметный виток популярности в хакерской среде, и приводят примеры. Один из наиболее свежих образчиков применения стеганографии – DDoS-инструмент Foreign. Бот прячет команды в стандартных сообщениях об ошибке протокола HTTP. Foreign парсит страницу и сталкивается с обычной, на первый взгляд, ошибкой 404. На самом деле, в ошибке сокрыта C&C команда, закодированная с применением Base64 и спрятанная между тегами comment. Отследить такой обмен данными с командным сервером крайне затруднительно.

Также исследователи рассказали о даунлоудере Lurk, который скачивает на зараженные машины клик-фрод программы. Lurk впервые был замечен аналитиками еще в 2014 году, и тогда же даунлудер уличили в том, что он прячет URL, с которых получает контент, в .bmp файлах, то есть в картинках.

Банковская малварь Gozi (также известная как Vawtrak, Neverquest или Snifula) начала использовать стеганографию в начале текущего года и применяет ее в качестве «резервного механизма для получения URL, с которых может скачать файл конфигурации». Авторы трояна невероятно изобретательны, потому как зашифрованная информация хранится в файлах favicon.ico, которые хостятся в Tor. Об этом примечательном случае мы рассказывали весной текущего года.

Кроме того, в поле зрения исследователей попал вредонос Stegoloader, который работает по схожей с Lurk схеме. Малварь полагается в работе на специальный модуль, который скачивает изображения PNG, содержащие вредоносный код. В основном Stegoloader похищает системную информацию, но также может использоваться для загрузки дополнительных модулей, а после – для получения доступа к документам, списку установленных программ, кражи истории браузера и установки дополнительной малвари, которая, в свою очередь, похищает пароли.

Следующая главная новость »

Итоги 2025 в ИБ: анализ рынка, тенденции и прогнозы в эфире AM Live. Регистрируйтесь по этой ссылке »

Екатерина Быстрова 19 Декабря 2025 - 21:09

Трояны Домашние пользователи

Через кряки и YouTube распространяют новые загрузчики вредоносов

Киберэксперты предупреждают о новой волне атак, в ходе которых злоумышленники активно используют сайты с «крякнутым» софтом и популярные видеоплатформы. В центре внимания — обновлённая версия скрытного загрузчика CountLoader, а также новый JavaScript-лоадер GachiLoader, распространяемый через взломанные YouTube-аккаунты.

По данным аналитиков Cyderes, новая кампания строится вокруг CountLoader — модульного загрузчика, который используется как первая ступень многоэтапной атаки. Жертве достаточно попытаться скачать взломанную версию популярной программы, например Microsoft Word.

Сценарий выглядит правдоподобно: пользователя перенаправляют на MediaFire, где лежит ZIP-архив. Внутри — ещё один зашифрованный архив и документ Word с паролем от него. После распаковки запускается «Setup.exe», который на самом деле является переименованным Python-интерпретатором. Он загружает CountLoader с удалённого сервера через mshta.exe.

Для закрепления в системе CountLoader создаёт задачу планировщика с названием, замаскированным под сервис Google — вроде GoogleTaskSystem136.0.7023.12. Такая задача может запускаться каждые 30 минут в течение 10 лет.

Интересно, что вредонос проверяет, установлен ли CrowdStrike Falcon. Если да — меняет способ запуска, чтобы снизить вероятность обнаружения. В остальном CountLoader активно собирает информацию о системе и готовит почву для следующего этапа атаки.

Новая версия загрузчика стала заметно опаснее. Среди её возможностей:

загрузка и запуск EXE, DLL, MSI и ZIP-файлов;
выполнение PowerShell-кода прямо в памяти;
распространение через USB-накопители с подменой ярлыков;
сбор и отправка подробных данных о системе;
удаление собственных следов.

В зафиксированной атаке финальной нагрузкой стал ACR Stealer — стилер, крадущий конфиденциальные данные с заражённых компьютеров.

Параллельно специалисты Check Point рассказали о другой кампании — с использованием GachiLoader. Этот лоадер написан на Node.js и распространяется через сеть взломанных YouTube-аккаунтов, так называемую YouTube Ghost Network.

Злоумышленники загружали видео с вредоносными ссылками, замаскированными под установщики популярного ПО. Всего выявлено около 100 таких роликов, которые суммарно набрали более 220 тысяч просмотров. Большинство из них Google уже удалила.

GachiLoader умеет обходить защиту, проверять наличие прав администратора и даже пытаться отключать компоненты Microsoft Defender. В одном из случаев он использовался для доставки стилера Rhadamanthys.

Эксперты отмечают, что обе кампании укладываются в общий тренд: злоумышленники всё чаще используют «бесфайловые» техники, легитимные компоненты Windows и сложные цепочки загрузки, чтобы дольше оставаться незаметными.

Главный совет пользователям остаётся прежним: не скачивать «кряки» и «активаторы», даже если они выглядят убедительно, и с осторожностью относиться к ссылкам под видео и в описаниях на YouTube. В 2025 году «бесплатный софт» всё чаще обходится слишком дорого.

Итоги 2025 в ИБ: анализ рынка, тенденции и прогнозы в эфире AM Live. Регистрируйтесь по этой ссылке »