Новый мобильный троянец подписывает россиян на платные сервисы

Новый мобильный троянец подписывает россиян на платные сервисы

Новый мобильный троянец подписывает россиян на платные сервисы

Эксперты «Лаборатории Касперского» нашли вредоносную программу, которая незаметно подписывает смартфоны своих жертв на различные платные сервисы. Троянец под названием Xafekopy делает это, кликая по ссылкам, или с помощью отправки SMS. В первом случае троянец способен даже обходить капчу — тест для распознавания человека или автоматической системы при вводе данных.

Зловред использует JavaScript-файлы, что роднит его с троянцем Ztorg. Более того, названия некоторых методов в этих файлах совпадают у обеих программ. Эксперты полагают, что создатели одного троянца могли купить или украсть файлы у создателей другого. Код самих троянцев при этом разный.

Исследователи «Лаборатории Касперского» выяснили, что троянец был создан группой китайскоговорящих разработчиков, а общее количество заражений на данный момент составило 3816. При этом Xafekopy нацелен главным образом на пользователей в России и Индии: за последний месяц на эти страны пришлось 61% и 25% всех атакованных, для них даже существуют отдельные модификации троянца. Российская версия зловреда умеет заходить на сайты четырех крупнейших операторов сотовой связи в стране и получать подтверждение подписки на платные сервисы.

 

Распределение атакованных троянцем Xafekopy пользователей по странам

 

Зараженные троянцем приложения активно распространяются через рекламные сети под видом полезных программ, при этом в их исполняемых файлах даже содержится какой-либо «полезный функционал». Это сделано для того, чтобы магазинам приложений и модераторам рекламных сетей было труднее идентифицировать программу как вредоносную. Кроме того, эксперты зафиксировали распространение зловреда Xafekopy через Ztorg: это объясняется тем, что последний представляет из себя в первую очередь рекламного троянца, который умеет тайно от пользователя устанавливать и запускать рекламируемые приложения.

«Мы наблюдаем развитие сотрудничества киберпреступников между собой, и государственные границы их не останавливают. Во-первых, два различных троянца используют похожие вспомогательные файлы: скорее всего, это стало следствием совместной работы двух группировок. Во-вторых, кибермошенники из одной страны воруют деньги у пользователей из других стран, вероятно, пользуясь помощью местных злоумышлеников», — отметил Роман Унучек, антивирусный эксперт «Лаборатории Касперского».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Новый ботнет использует утилиту hping3 для проведения DDoS-атак

В интернете объявился новый, активно развиваемый DDoS-зловред. Проведенный в NSFOCUS анализ показал, что новобранец, нареченный hpingbot, написан с нуля на Go и нацелен на платформы Windows и Linux/IoT.

Обнаруженный в прошлом месяце троян (результат VirusTotal на 4 июля — 13/72) также поддерживает множество архитектур CPU, включая amd64, mips, arm и 80386. В настоящее время в состав созданного на его основе ботнета входят немногим более 14,6 тыс. зараженных устройств.

Для своей работы hpingbot использует совсем другие ресурсы, нежели многочисленные производные Mirai и Gafgyt: прячет полезную нагрузку на Pastebin, а DDoS-атаки проводит с помощью hping3 — бесплатного инструмента диагностики сетей, похожего на ICMP ping.

Подобный подход не только повышает шансы зловреда на сокрытие от обнаружения, но также значительно снижает стоимость его разработки и операционные расходы.

Ссылки на Pastebin жестко прописаны в коде hpingbot. Отдаваемый с сайта пейлоад (IP-адреса C2, скрипты для загрузки дополнительных компонентов) часто сменяется.

Из техник DDoS вредоносу подвластен флуд — SYN, TCP, ACK, UDP и многовекторный. Примечательно, что Windows-версия трояна не способна оперировать hping3 из-за ограничений по внешним условиям, она в основном заточена под загрузку и запуск дополнительных модулей.

Из последних был выявлен написанный на Go генератор DDoS-флуда (UDP и TCP), который с 19 июня загружается на ботнет для тестирования. Он связан с теми же C2, но не имеет доступа к Pastebin, не вызывает hping3 и не умеет обновляться.

Распространяется hpingbot через брутфорс SSH, используя специальный модуль. Закрепиться в системе зловреду помогают Systemd, SysVinit и Cron, после выполнения своих задач он удаляет свои файлы и подчищает логи.

Зафиксированные DDoS-атаки с ботнета пока немногочисленны — по всей видимости, операторы пока сосредоточены на наращивании потенциала.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru