Группировка Fancy Bear вернулась с новым необычным бэкдором

Группировка Fancy Bear вернулась с новым необычным бэкдором

Свежие атаки киберпреступной группировки Fancy Bear продемонстрировали, что злоумышленники используют обновлённый набор инструментов, среди которых есть бэкдор, написанный на новом языке. Последнюю вредоносную кампанию Fancy Bear обнаружили эксперты ESET.

Fancy Bear также известна под именами APT28, Sednit, Sofacy и Strontium, ее принято считать спонсируемой правительством группой, занимающейся целевыми кибератаками.

Ранее жертвами этой группировки становились: всемирное антидопинговое агентство WADA, Национальный комитет Демократической партии США, украинские военные и различные государственные организации.

Западные эксперты считают, что за Fancy Bear стоит правительство России, а сама группировка активна с 2004 года. При этом исследователи отмечают, что участники группы постоянно совершенствуют кибероружие в своём арсенале.

В ходе последних атак, о которых сообщили специалисты ESET, Fancy Bear пытались взломать системы министерств иностранных дел и различных посольств, располагающихся в Европе и Азии. Начиналось все по традиции с фишинговых писем, содержащих вредоносные пейлоады. Однако жемчужиной этих атак стал новый бэкдор.

Злоумышленники воспользовались новым языком — Nim, разработанным для сочетания достоинств Python, Ada и Modula. Исполняемые файлы Nim поддерживают все основные платформы: Microsoft Windows, Linux и macOS.

В общей сложности в каждой атаке Fancy Bear использует шесть модулей, а завершающим этапом в систему устанавливается бэкдор Golang. Вредонос собирает информацию о заражённом хосте и в течение первых нескольких минут снимает скриншоты каждые 35 секунд. Все эти данные и файлы отравляются на командный сервер — C&C.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Операторы LokiBot используют лаунчер Epic Games в качестве приманки

Операторы знаменитого трояна LokiBot теперь маскируют вредонос под лаунчер одной из самых популярных видеоигр. Напомним, что LokiBot может перехватывать конфиденциальные данные: имена пользователей, пароли, платёжную информацию и даже красть содержимое криптовалютных кошельков.

Помимо прочего, данная вредоносная программа обладает также возможностями кейлоггера — LokiBot мониторит действия пользователей в браузере и на рабочем столе.

Новая кампания по распространению этого трояна пытается ввести пользователей в заблуждение маскировкой под лаунчер Epic Games, разрабатывающей популярную мультиплеерную игру Fortnite.

Специалисты Trend Micro, обнаружившие новые атаки LokiBot, отметили, что вредоносная программа использует непривычный способ инсталляции, помогающий избежать детектирования антивирусными средствами.

Началом атак LokiBot всегда служат фишинговые электронные письма. В последних образцах таких писем был найден фейковый лаунчер Epic Games, использовавший логотип компании для придания вида легитимности. В процессе заражения компьютера вредонос копировал в систему два файла, один из которых представлял собой надписанный на C# код, а второй — исполняемый .NET-файл.

Обойти антивирусные программы зловреду помогает обфусцированный код на C#, отчасти состоящий из мусора. Далее файл .NET читает, компилирует и расшифровывает C#, что позволяет запустить сам LokiBot.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru