По данным лаборатории PandaLabs недавний спад на фондовой бирже мог быть вызван бурным ростом кибер-преступничества

По данным лаборатории PandaLabs недавний спад на фондовой бирже мог быть вызван бурным ростом кибер-преступничества

PandaLabs, предупреждает, что зафиксирована прямая взаимосвязь между недавней неустойчивостью фондовой биржи и ростом числа новых угроз. По мнению экспертов лаборатории PandaLabs, эти два события связаны намного теснее, чем предполагалось ранее, а недавняя нестабильность на фондовом рынке ускорила рост целевых кибер-атак и их соответствующее влияние на экономику в течение последних полутора месяцев. Помимо этого, аналитики в лаборатории PandaLabs полагают, что недавний всплеск роста вредоносного ПО может быть связан с тем, что кибер-преступники сейчас имеют меньшее количество вероятных целей, что стало результатом консолидации внутри банковской сферы.

“Когда мы стали рассматривать специфические результаты влияния кибер-преступников на экономику во время спада, мы обнаружили поразительную взаимосвязь: криминальная экономика очень тесно связана с самой экономикой”, говорит Луис Корронс, технический директор PandaLabs. “Основываясь на расширенном исследовании и анализе появления новых образцов вредоносного ПО, мы полагаем, что преступнические организации тщательно отслеживают производительность рынка  и адаптируются к нему, если нужно, для получения максимальной прибыли”.

По данным лаборатории PandaLabs сейчас ведется разработка новой стратегии, которая станет ответом преступников на консолидацию в банковской сфере, проявившейся во введении несколькими правительствами многомиллионных пакетов для борьбы с кризисом.  В результате этой консолидации меньшее количество банковских организаций продолжит свое существование в долгосрочном периоде и ощущение нестабильности в финансовом сообществе превратит последних в менее привлекательную цель. Сложившаяся ситуация увеличила число других типов вредоносного ПО, например рекламного, которое в обычных условиях оказалось бы на втором месте после троянов.

“Кибер-преступники вынуждены увеличить свою активность для того, чтобы с помощью своих кампаний, разрабатываемых для получения денег, особенно в периоды экономической нестабильности, «достать» большее количество пользователей. Например, мы наблюдали рост числа мошеннических операций, связанных с антивирусным ПО, в которых ничего не подозревающих клиентов заставляли осуществлять онлайновую транзакцию - для этого преступники использовали такой прием как фишинг (банковских сайтов)”, объясняет Корронс. “По нашей информации обманные, ненастоящие антивирусные кампании ежемесячно собирают для теневой экономики более 10 миллионов евро”.

Следующие данные отражают ключевые открытия PandaLabs:

  • В среднем американский фондовый рынок испытывал упадок от 3 до 7 процентов с 1 сентября по 9 октября. Однако активность на «рынках вредоносного ПО» была противоположной: она значительно возрастала, в то время как на фондовых ранках активность падала.
  • С 5 по 16 сентября все индексы Dow Jones Industrial Average, NASDAQ, S&P 500 и Composite Index ушли из положительного диапазона в 0.0 до почти негативного в 3.0 процента или ниже (см. Рисунок #1). В этот же период индексы Spanish IBEX 35 index и London FTSE 100 также испытывали значительные потери. В это же время наблюдался значительный рост вредоносных угроз, которые происходят за день; например, с 8 по 10 сентября число угроз, которые обнаруженных за день, возросло с 10150 до более чем 24000.
  • С 14 по 16 сентября значения на фондовых рынках упали с -0.5 до -5.5 процентов, в то время как число ежедневных угроз увеличивалось на 50 процентов каждый день, с 8276 – на 14 сентября до 31404 – на 16 сентября (см. Рисунок #2).

На представленных ниже графиках показаны данные из которых ясно видно, что когда ситуация на фондовых рынках становится хуже, кибер-преступники капитализируются на ослабленных экономических показателях для извлечения огромной финансовой прибыли. К примеру, на Рисунке #3 показано общее падение индексов DJIA, NASDAQ, S&P 500, FTSE 100, IBEX 35 и Composite Index за полтора месяца и обозначены несколько точек, когда произошли значительные потери. Сравнивая данный график с графиком эволюции вредоносного ПО (Рисунок #4) с 1 сентября по 9 октября, ясно видно, что при нестабильности рынка, кибер-преступничество значительно возрастает.

Рисунок # 1 – Изменения на фондовом рынке (с 5 сентября по 15 сентября) – источник: moneycentral.msn.com

Рисунок # 2 – Эволюция угроз с ключевыми точками (с 5 сентября по 15 сентября) – источник: PandaLabs

 

 

Рисунок # 3 – Изменения фондового рынка (с 1 сентября по 9 октября) – источник: moneycentral.msn.com

Рисунок #4 – Эволюция угроз с ключевыми точками (с 1 сентября по 9 октября) – источник: PandaLabs

Как становится очевидно при сравнении этих данных, не будет конца упорству и росту кибер-преступничества, а также его попыток использовать  вредоносное ПО для получения финансовой прибыли”, говорит Корронс. “Несмотря на экономическую ситуацию, мы в курсе, что кибер-преступники постоянно перерабатывают свои стратегии и, очевидно, получают прибыль на экономическом спаде, охотясь на ничего не подозревающих жертв. Оставаясь бдительными и зная обо всем этом, мы лучше подготовлены к тому, чтобы защищать себя и экономику от действительно реальных опасностей вредоносного ПО”.

Под видом очистки macOS юзерам подсовывают команды для запуска инфостилеров

Microsoft описала новую волну ClickFix-атак, нацеленных на пользователей macOS. Злоумышленники публикуют фейковые инструкции по очистке диска, оптимизации хранилища и решению системных проблем. На деле эти советы сводятся к одному: убедить пользователя скопировать и вставить команду в Терминал.

После запуска такая команда не чинит систему, а скачивает и выполняет вредоносный скрипт.

В кампаниях используются инфостилеры Macsync, Shub Stealer и AMOS, перехватывающие пароли, данные iCloud, документы, содержимое связки ключей (Keychain), данные браузеров и криптокошельков.

Трюк работает за счёт социальной инженерии. Пользователь сам запускает команду, которая выглядит как лайфхак. Внутри она может быть закодирована в Base64, а затем через стандартные инструменты macOS — curl, base64, gunzip, osascript — загружает и выполняет удалённый код. При этом нет привычного установщика или приложения, которое можно было бы заметить в Finder.

 

Такой подход помогает обходить часть защитных механизмов macOS. Например, Gatekeeper обычно проверяет скачанные приложения, но здесь вредоносный код приходит через Терминал и запускается по инициативе самого пользователя.

Microsoft выделяет несколько вариантов кампании. В одном случае загрузчик на zsh проверяет систему, ищет признаки русской или СНГ-раскладки, а затем подтягивает AppleScript-инфостилер. Он собирает данные браузеров, Keychain, iCloud, документы и артефакты мессенджеров и криптокошельков, упаковывает их в архив и отправляет злоумышленникам.

 

В другом сценарии скрипт закрепляется в системе через LaunchAgent в ~/Library/LaunchAgent/, после чего пейлоад ищет активный C2-сервер и выполняет новые команды прямо в памяти. Ещё один вариант устанавливает вредоносный Mach-O-файл в /tmp, разворачивает скрытый бэкдор и LaunchDaemon, чтобы запускаться с повышенными правами после перезагрузки.

Особое внимание злоумышленники уделяют криптокошелькам. Вредоносные скрипты ищут Trezor Suite, Ledger, Exodus, Electrum и другие приложения. В некоторых случаях легитимные кошельки могут подменяться троянизированными версиями, внешне похожими на настоящие.

Для устойчивости вредоносные компоненты маскируются под обновления Google, например через поддельный GoogleUpdate и LaunchAgent с названием вроде com.google.keystone.agent.plist. Такой канал позволяет не только украсть данные сразу, но и сохранить удалённый доступ к системе.

Apple уже обновила сигнатуры XProtect, а начиная с macOS 26.4 добавила защиту от вставки подозрительных команд в Терминал.

RSS: Новости на портале Anti-Malware.ru