400 тысяч пользователей пострадало от бэкдора Adwind

Бэкдор Adwind, распространяющийся в сравнительно редком на сегодня формате «вредоносное ПО как услуга», смог атаковать в общей сложности более 440 тысяч пользователей и организаций по всему миру, в том числе и в России.

Расследовав ряд инцидентов, в которых был замечен Adwind, и детально изучив саму вредоносную программу и ее возможности, эксперты «Лаборатории Касперского» установили, что угроза до сих пор активна и используется преимущественно в целях кибершпионажа. При этом собирать данные о пользователях с помощью Adwind может любой желающий – для того чтобы получить в свое распоряжение готовый инструмент для слежки, достаточно просто заплатить за пользование зловредом.

В отличие от всех прочих вредоносных программ, доступных для приобретения, Adwind распространяется открыто в рамках единой платформы. «Клиент» в данном случае платит за зловред как за сервис, которым он может пользоваться. По данным «Лаборатории Касперского», в конце 2015 года в этой «сервисной» системе было около 1800 пользователей, что делает Adwind одной из самых больших известных вредоносных платформ. Изучив профили зарегистрированных участников, эксперты пришли к выводу, что в использовании зловреда заинтересованы мошенники, которые хотят повысить уровень своего «профессионализма», нечестные конкуренты, кибернаемники и частные пользователи, желающие следить за своими знакомыми.

Впервые Adwind был обнаружен в 2013 году. С тех пор исследователи киберугроз неоднократно встречали его под разными именами: AlienSpy, Frutas, Unrecom, Sockrat, JSocket и jRat. Последний раз зловред привлек к себе внимание экспертов «Лаборатории Касперского» в конце 2015 года при попытке атаковать один из банков Сингапура – вредоносный файл был прикреплен к фишинговому письму, адресованному одному из сотрудников банка.

Adwind написан целиком на Java, именно поэтому он способен атаковать все распространенные платформы, в частности Windows, OS X, Linux и Android. Вредоносная программа позволяет злоумышленникам собирать и извлекать из системы данные, а также удаленно управлять зараженным устройством. На сегодняшний день зловред способен делать снимки экрана, запоминать нажатия клавиш на клавиатуре, красть пароли и данные, хранящиеся в браузерах и веб-формах, фотографировать и осуществлять видеозапись с помощью веб-камеры, делать аудиозаписи при помощи микрофона, встроенного в устройство, собирать общие данные о пользователе и о системе, красть ключи от криптовалютных кошельков, а также VPN-сертификаты и, наконец, управлять SMS.

По большей части Adwind распространяется в массовых спам-рассылках, а потому его зачастую используют случайные люди, не планировавшие сложных и масштабных кампаний. Тем не менее вредоносная программа была неоднократно замечена и в целевых атаках – об этом свидетельствует, например, случай с сингапурским банком. Кроме того, в августе 2015 года Adwind всплыл в новости о киберслежке за аргентинским прокурором, который умер при невыясненных обстоятельствах в январе того же года.

Проанализировав около 200 целенаправленных фишинговых атак, в которых фигурировал Adwind, эксперты «Лаборатории Касперского» установили, что большинство потенциальных жертв зловреда работают в таких сферах как производство, финансы, строительство и проектирование, розничная торговля, логистика, телекоммуникации, разработка ПО, образование, здравоохранение, производство продуктов питания, энергетика, СМИ и правительство. При этом почти половина (49%) жертв Adwind находится всего в 10 странах: в России, ОАЭ, Германии, Индии, США, Италии, Вьетнаме, Гонконге, Турции и Тайване.

 

 

«Платформа Adwind в своем текущем состоянии значительно снижает минимальный уровень профессиональных знаний, требуемых от потенциального киберпреступника. В том же случае с сингапурским банком, который мы тщательно изучили, злоумышленник, организовавший атаку, был далеко не профессиональным хакером. И мы полагаем, что большинство «клиентов» Adwind имеют примерно тот же невысокий уровень компьютерных знаний и навыков. А это очень тревожная тенденция: получается, что при наличии вредоносного ПО в свободном доступе киберпреступной деятельностью может заниматься практически любой желающий», – отмечает Александр Гостев, главный антивирусный эксперт «Лаборатории Касперского».

Многообразные версии и модификации Adwind были исследованы и описаны различными экспертами в области кибербезопасности, однако платформа до сих пор активна и привлекает к себе злоумышленников. «Лаборатория Касперского» провела детальное исследование угрозы для того, чтобы привлечь к ней внимание правоохранительных органов, которые могли бы нейтрализовать опасность широкого и свободного распространения Adwind. Именно поэтому все детали расследования компания передала ведомствам, принимающим подобные решения.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

PT Expert Security Center может предсказывать атаки группы RTM

RTM вместе с Cobalt и Silence является самой активной киберпреступной группой, атакующей российские финансовые компании и промышленный сектор. Специалисты Positive Technologies (PT Expert Security Center) «ведут» эту группу с 2018 года, что позволило им разработать механизм, предсказывающий дальнейшие действия RTM.

Основная цель злоумышленников — проникнуть в корпоративную сеть, для чего они используют фишинговые рассылки. В PT Expert Security Center заявили, что за 2018 год было зафиксировано 59 атак RTM.

Уже в 2019 году киберпреступники успели провести 45 атак. Углубившись в анализ рассылок группировки, специалисты PT Expert Security Center смогли вычислить, что функции командных центров C&C выполняют домены в зоне .bit.

Поскольку эта доменная зона создана на базе блокчейна Namecoin, эксперты PT Expert Security Center смогли изучить особенности архитектуры блокчейна, что позволило создать схему отслеживания регистрации новых доменов, принадлежащих RTM. Более того, исследователи могут даже отследить смену IP-адресов злоумышленников.

Благодаря новому алгоритму специалисты PT Expert Security Center теперь могут уведомлять финансовые организации о появлении новых командных серверов, которые киберпреступники будут использовать для атак.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru