Повержен DarkMarket, крупнейшая торговая площадка теневого интернета

Повержен DarkMarket, крупнейшая торговая площадка теневого интернета

Повержен DarkMarket, крупнейшая торговая площадка теневого интернета

Интернациональное мероприятие по ликвидации DarkMarket завершилась успехом: теневой маркетплейс закрыт, его серверы отключены, предполагаемый оператор арестован. В совместной операции приняли участие Европол, ФБР, британское Управление по борьбе с преступностью (NCA), а также правоохранительные органы Австралии, Германии, Дании, Швейцарии, Украины и Молдовы.

Согласно результатам расследования, на DarkMarket совершались сделки по купле-продаже наркотиков, фальшивых денег, краденых банковских реквизитов, анонимных SIM-карт, вредоносных программ. На момент закрытия подпольная торговая площадка насчитывала порядка 500 тыс. зарегистрированных пользователей и более 2,4 тыс. продавцов нелегальных товаров. Через нее было совокупно проведено более 320 тыс. транзакций с использованием Биткойн и Монеро на общую сумму свыше €140 млн ($170 млн).

Благодаря разгромной акции блюстителям правопорядка удалось захватить два десятка серверов в Молдове и Украине, используемых для нужд DarkMarket. Участники совместного расследования надеются, что содержимое этих серверов поможет идентифицировать и призвать к ответу модераторов маркетплейса, а также пользовавшихся им покупателей и продавцов.

Предполагаемый оператор теневого сервиса, 34-летний уроженец Австралии, отказался сотрудничать со следствием и был заключен под стражу.

По имеющимся данным, DarkMarket попал в поле зрения правоохранителей в ходе расследования деятельности голландского хостинг-сервиса Cyberbunker, известного своими связями с киберкриминалом. Некоторых пользователей DarkMarket удалось задержать в ходе полицейских рейдов, проведенных в сентябре в рамках трансграничной операции DisrupTor.

Стилер MacSync научился обходить защиту macOS через «легитимный» софт

Эксперты по кибербезопасности зафиксировали новую схему распространения macOS-зловредов, которая позволяет обходить встроенные защитные механизмы Apple. На этот раз злоумышленники маскируют вредоносную программу под официально подписанное приложение, убеждая систему, что перед ней легитимный софт.

О находке рассказали исследователи из компании Jamf. По их данным, атака связана с новой версией MacSync Stealer — активно развивающегося семейства зловредов для macOS.

В отличие от классических сценариев, в которых macOS сразу предупреждает пользователя о небезопасном приложении, здесь используется более хитрый подход:

  • пользователю предлагается установить Swift-приложение, которое
    • подписано разработчиком;
    • прошло одобрение Apple;
    • не содержит вредоносного кода внутри;
  • после запуска приложение загружает закодированный скрипт с удалённого сервера;
  • именно этот скрипт устанавливает MacSync Stealer.

Jamf отмечает, что Mach-O бинарник был универсальным, корректно подписанным и не находился в списке отозванных сертификатов Apple на момент анализа. Зловред же в основном работает в памяти, практически не оставляя следов на диске, что дополнительно усложняет обнаружение.

 

По словам специалистов Jamf, такая техника становится всё более популярной среди атакующих. Злоумышленники всё чаще прячут вредоносную нагрузку в подписанных исполняемых файлах, чтобы они выглядели как обычные приложения и не вызывали подозрений на раннем этапе.

Фактически это попытка использовать саму модель доверия macOS против пользователей. Компания сообщила, что передала Apple информацию о разработчике, и сертификат уже был отозван.

RSS: Новости на портале Anti-Malware.ru