Symantec отслеживает действия хакера, который, по-видимому, разработал сложную вредоносную программу. Несмотря на то, что злоумышленник пытался скрыть свою личность, исследователи считают, что ему это не до конца удалось.
В 2014 году компания обнаружила вредоносную программу, которая получила имя Bachosens, но есть доказательства того, что разработчик этого вредоноса ведет свою активность с начала 2009 года. Symantec первоначально считала, что атаки, связанные с Bachosens, были проведены некой государственной структурой, учитывая сложность этого зловреда, однако дальнейший анализ выявил некоторые ошибки.
, который, как полагают эксперты, распространялся через фишинговые письма, представляет собой бэкдор, обеспечивающий постоянный доступ хакера к зараженной системе. В анализируемых атаках Symantec также обнаружила кейлоггер, который, по мнению исследователей, был запущен вручную злоумышленником на зараженном устройстве.
В отличие от многих других бэкдоров, которые используют HTTP или HTTPS для связи с командными серверами (C&C), Bachosens делает это через DNS, ICMP и HTTP. Вредоносная программа использует алгоритм генерации доменов (DGA) для создания центров управления, экспертам удалось определить, что DGA настроен на создание только 13 доменов в год.
Несмотря на то, что Bachosens является довольно сложным зловредом, исследователи отметили, что кейлоггер не использовал какой-либо обфускации. А тот факт, что один из образцов вредоносной программы распространялся вместе с онлайн-игрой, убедил экспертов в том, что за этими атаками на стоит какая-либо серьезная структура.
Более тщательный анализ вредоноса и данных регистрации доменных имен указал экспертам на русскоязычного человека, который, по-видимому, проживает в городе Тирасполь в восточной Молдове.
По мнению исследователей, хакера зовут Игорь, он связан с магазином автозапчастей. Также эксперты уточнили, что этот хакер опубликовал персональную информацию на форумах для автолюбителей, таким образом раскрыв себя.
«Те данные, что злоумышленник раскрыл о себе в интернете, указывают на то, что он является лицом, занимающимся автомобильной промышленностью» - пишет Symantec в .
На этой неделе разработчики устранили критическую уязвимость в браузере Chrome, которая в случае эксплуатации может позволить выбраться за пределы песочницы и выполнить произвольный код удалённо.
Брешь, которую отслеживают под идентификатором CVE-2024-4058, затрагивает графический движок ANGLE. По типу это классическое несоответствие используемых типов данных (type confusion).
Интересно, что за последние несколько лет лишь несколько брешей в Chrome удостоились статуса критических. За информацию о CVE-2024-4058 Google поблагодарила команду Qrious Secure и выплатила экспертам 16 000 долларов.
Qrious Secure вообще любит искать бреши ради удовольствия, ранее исследователи, например, сообщали Google о CVE-2024-0517 и CVE-2024-0223 — двух других проблемах в Chrome.
В Google не уточнили, эксплуатируют ли злоумышленники CVE-2024-4058 в реальных кибератаках. Тем не менее всем рекомендуется установить последнюю версию браузера: 124.0.6367.78/.79 (для Windows и macOS) и 124.0.6367.78 (для Linux).
Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
