Зловред BazarBackdoor переписан на Nim для обхода антивирусов

Зловред BazarBackdoor переписан на Nim для обхода антивирусов

Зловред BazarBackdoor переписан на Nim для обхода антивирусов

Обнаружен образец BazarBackdoor, написанный на Nim (ранее Nimrod). По всей видимости, создатели зловреда перешли на экзотический язык программирования, чтобы надежнее спрятать свое детище от антивирусных сканеров.

Вредоносная программа BazarBackdoor, она же BazarLoader, была создана авторами TrickBot, чтобы облегчить горизонтальное перемещение по сети после первоначального взлома. Этот выполняемый в памяти загрузчик с функциями бэкдора открывает удаленный доступ к зараженной системе и способен по команде выполнять в ней различные действия.

Распространяется BazarBackdoor, как и другие инструменты этой преступной группы, через email-рассылки. Вредоносные письма обычно имитируют ответ HR или юриста компании сотруднику, которого якобы собираются уволить. Чтобы ознакомиться с копией приказа, получателю предлагается пройти по указанной ссылке.

 

Nim-итерацию BazarBackdoor обнаружили в начале текущего месяца эксперты ИБ-компании Intezer. На тот момент вредоносный характер exe-файла распознали лишь четыре антивируса из коллекции Virus Total. В настоящее время его детектирует больше половины списка.

Судя по комментам на Virus Total, новый семпл BazarBackdoor подписан сертификатом, выданным на имя британской компании Network Design International Holdings Limited.

«Криминальная группа, вероятно, разработала облегченный вариант вредоноса на Nim, чтобы ввести в заблуждение антивирусы и другие средства детектирования, которые традиционно нацелены на бинарники, скомпилированные на C/C++», — пояснил гендиректор Advanced Intel Виталий Кремез (Vitali Kremez), комментируя находку для BleepingComputer.

Бинарные коды Nim могут с равным успехом выполняться на Windows, macOS и Linux. Вирусописатели редко используют такую экзотику в качестве средства обхода антивирусов. Новейшие результаты подобных экспериментов — вымогательские программы DeroHE и Vovalex; первая написана на Nim, вторая — на D.

Мошенники за рубежом охотно перенимают схему Долиной

На популярном у россиян острове Бали местные мошенники начали активно использовать схему, напоминающую «казус Долиной». Они выступают посредниками при аренде недвижимости, хотя не имеют права сдавать эти объекты. С подобным мошенничеством уже столкнулась жительница Новосибирска.

По ее словам, семья арендовала виллу через агента, который представился родственником владельцев. Договор аренды был заключен сразу на год.

О распространении такой схемы сообщает РИА Новости со ссылкой на пострадавших.

Однако, когда семья приехала на отдых, появился настоящий владелец и заявил, что денег за аренду не получал, а посредник не имеет к нему никакого отношения:

«Он просто повесил на дом замок и сказал, что мы заплатили не тому человеку. По его словам, деньги получил только агент, с которым они больше не сотрудничают. Теперь нам предлагают съехать и самостоятельно требовать деньги обратно у этого агента».

Как отмечает РИА Новости, этот случай не единичный. По аналогичной схеме были обмануты несколько россиян из разных регионов, пытавшихся арендовать жилье на Бали. Встречаются и ситуации, когда один и тот же объект одновременно сдают сразу нескольким туристам.

В России мошенники при аренде недвижимости обычно используют другие схемы. Чаще всего они стремятся получить предоплату, заманивая жертву большой скидкой, а затем исчезают.

Осенью 2025 года появилась схема, при которой злоумышленники выдают себя за собственников объекта и просят перевести деньги за аренду по новым реквизитам. Встречаются также варианты с бронированием несуществующих объектов.

RSS: Новости на портале Anti-Malware.ru