Злоумышленники использовали серверы Facebook CDN для хранения вируса

Злоумышленники использовали серверы Facebook CDN для хранения вируса

Злоумышленники использовали серверы Facebook CDN для хранения вируса

Недавно, в июле 2017 года, исследователи Palo Alto Networks рассказывали о преступной группе, которая использует URL-адреса Google и Dropbox. Теперь ИБ-специалист, известный под псевдонимом MalwareHunter, описал очень похожую технику атак, однако на этот раз злоумышленники задействовали для своих операций ресурсы Facebook CDN.

Данные атаки работают достаточно просто. Сначала жертва получает от злоумышленников письмо, замаскированное под официальное послание от местных властей. В письме содержится ссылка на Facebook CDN (Content Delivery Network). То есть атакующие загружают файлы в группы Facebook и другие публично доступные разделы сайта, а затем копируют получившийся URL, вставляя его в спамерские письма, пишет xakep.ru.

Интересно, что такие ссылки почти не вызывают подозрений у антивирусов и других защитных решений, так как домен Facebook CDN почти всегда является доверенным, а в социальной сети крайне редко размещают малварь.

Если жертва не замечает подвоха и нажимает на ссылку, ей предлагают скачать RAR- и ZIP-архив, внутри которого содержится еще одна ссылка (ярлык). Открытие ярлыка вызывает срабатывание легитимных приложений, установленных на большинстве компьютеров, работающих под управлением Windows (Command Prompt или PowerShell), в результате чего запускается зашифрованный PowerShell-скрипт. Данный скрипт, в свою очередь, загружает и запускает еще один PowerShell-скрипт, который ответственен на скачивание DLL-лоадера, который загружает еще один DLL и файл EXE. Результатом этой длинной цепочки операций становится создание еще одного ярлыка-сслыки, указывающего на VBS-скрипт. Этот скрипт запускает выполнение файла EXE, который подгружает еще один DLL (Xzibit определенно был бы доволен).

MalwareHunter пишет, что во время реализации этой длинной схемы злоумышленники успевают проверить геолокационные данные жертвы, а также ее IP-адрес. Так как в настоящее время эта вредоносная кампания ориентирована на бразильских пользователей, малварь сработает только для них. Для пользователей других стран процесс заражения будет прерван.

В итоге на компьютер жертвы устанавливает вредонос Banload, загрузчик, преимущественно использующийся для доставки банковских троянов, которые атакуют только пользователей из Бразилии. Специалисты компании ESET присвоили этой угрозе идентификатор Win32/Spy.Banker.ADYV. Эксперты Palo Alto Networks, ESET и MalwareHunter считают, что за распространением Banload стоит одна хакерская группа, которая уже атаковала жителей Бразилии в июле 2017 года, а также в 2016 году и 2015 году, распространяя таким образом банкера Escelar.

По мнению MalwareHunter, действия этой группировки напоминают «почерк» профессиональных «правительственных хакеров». Он также отмечает, что преступники располагают ресурсами для организации масштабных спам-кампаний, к тому же хакеры позаимствовали у маркетологов простейший трюк и встраивают в свои письма специальные «маячки» — изображения размером 1х1 пиксель. Эти картинки подгружают короткие ссылки goo.gl, и именно благодаря ним MalwareHunter и обнаружил новую кампанию.

Исследователь сообщает, что только 2 сентября 2017 года письма злоумышленников открывали и просматривали как минимум 200 000 раз. Две другие кампании набрали 70 000-80 000 просмотров.

 

 

В настоящее время интенсивность рассылки опасного спама стихла, но специалисты уверены, что это еще не конец, и в скором времени нужно ждать новую волну вредоносных писем. Эксперты уже уведомили представителей Facebook о новой тактике злоумышленников, и глава отдела безопасности социальной сети, Алекс Стамос (Alex Stamos), подтвердил, что инженеры компании уже решают проблему.

Мошенники придумали новый способ обхода антидропперских мер

Злоумышленники нашли новый способ обходить меры по противодействию выводу похищенных средств — через криптовалютные операции. Причём исполнители зачастую даже не подозревают, что участвуют в мошеннической схеме. В отличие от классических сценариев, новая модель не требует передачи банковских карт третьим лицам: владельцы карт выполняют операции с криптовалютой, не осознавая, что тем самым помогают обналичивать украденные деньги.

Вознаграждение за такие операции обычно составляет 1–2% от суммы. О схеме говорится в исследовании компании DLBI по мониторингу даркнета, с результатами которого ознакомились «Известия».

По оценке DLBI, новая схема обладает высокой устойчивостью к банковским антифрод-системам: владелец карты формально осведомлён обо всех транзакциях и доступен для проверок, что снижает подозрительность операций.

Как отмечает руководитель ИТ-подразделения агентства «Полилог», эксперт Регионального общественного центра интернет-технологий (РОЦИТ) Людмила Богатырева, злоумышленники активно перестраивают свои подходы на фоне усиленной борьбы с дропами и дропперством. В частности, такие схемы маскируются под легальные операции по покупке криптовалюты или, наоборот, по её выводу в фиат.

По словам менеджера образовательного проекта Servicepipe Ивана Горячева, масштабы применения этой схемы продолжают расти. Этому способствует её простота, ориентация на массовый «наём» и хорошая масштабируемость через мессенджеры и социальные сети.

Классические схемы с дропами стали для преступников слишком рискованными, дорогими и неудобными из-за криминализации такой деятельности. В результате срок «жизни» дропа, как отмечалось ранее, уже в мае не превышал нескольких дней — ещё на этапе внедрения новых мер. Побочным эффектом этого процесса в июле стал даже коллапс на наркорынке.

При этом и новая схема, по мнению эксперта платформы «Мошеловка», заместителя руководителя проекта «За права заёмщиков» Александры Пожарской, несёт серьёзные юридические риски для участников. Налицо корыстный мотив и действия в интересах третьих лиц, что может повлечь уголовную ответственность. Управляющий партнёр компании «Провъ» Александр Киселёв уточняет, что уже сформировавшаяся судебная практика учитывает осознание преступного характера операций, согласованность действий с организаторами схемы и получение выгоды.

При этом, как подчёркивает эксперт агентства «Цифровые коммуникации» Кирилл Карамзин, классические дропы полностью не исчезли: «Традиционная “аренда” карты на месяц за фиксированную плату никуда не делась. Через карту могут провести, например, 500 тысяч или 1 млн рублей, а затем вернуть её владельцу. Но даже при возврате карты такие действия остаются незаконными».

Глава комитета Госдумы по финансовому рынку Анатолий Аксаков напомнил, что привязка банковских счетов к ИНН направлена в том числе на то, чтобы отличать легальную подработку от мошеннических схем. По его словам, человеку, однажды совершившему сомнительную операцию, не позволят повторить её вновь.

Главный юрист продуктовой группы «Контур.Эгида» и Staffcop Ольга Попова даёт простой совет тем, кто не хочет стать дропом «втёмную»: «Нужно придерживаться одного принципа — всё, что принадлежит вам, должно оставаться только вашим, и никто не имеет права этим пользоваться».

RSS: Новости на портале Anti-Malware.ru