Зловред BazarBackdoor переписан на Nim для обхода антивирусов

Зловред BazarBackdoor переписан на Nim для обхода антивирусов

Зловред BazarBackdoor переписан на Nim для обхода антивирусов

Обнаружен образец BazarBackdoor, написанный на Nim (ранее Nimrod). По всей видимости, создатели зловреда перешли на экзотический язык программирования, чтобы надежнее спрятать свое детище от антивирусных сканеров.

Вредоносная программа BazarBackdoor, она же BazarLoader, была создана авторами TrickBot, чтобы облегчить горизонтальное перемещение по сети после первоначального взлома. Этот выполняемый в памяти загрузчик с функциями бэкдора открывает удаленный доступ к зараженной системе и способен по команде выполнять в ней различные действия.

Распространяется BazarBackdoor, как и другие инструменты этой преступной группы, через email-рассылки. Вредоносные письма обычно имитируют ответ HR или юриста компании сотруднику, которого якобы собираются уволить. Чтобы ознакомиться с копией приказа, получателю предлагается пройти по указанной ссылке.

 

Nim-итерацию BazarBackdoor обнаружили в начале текущего месяца эксперты ИБ-компании Intezer. На тот момент вредоносный характер exe-файла распознали лишь четыре антивируса из коллекции Virus Total. В настоящее время его детектирует больше половины списка.

Судя по комментам на Virus Total, новый семпл BazarBackdoor подписан сертификатом, выданным на имя британской компании Network Design International Holdings Limited.

«Криминальная группа, вероятно, разработала облегченный вариант вредоноса на Nim, чтобы ввести в заблуждение антивирусы и другие средства детектирования, которые традиционно нацелены на бинарники, скомпилированные на C/C++», — пояснил гендиректор Advanced Intel Виталий Кремез (Vitali Kremez), комментируя находку для BleepingComputer.

Бинарные коды Nim могут с равным успехом выполняться на Windows, macOS и Linux. Вирусописатели редко используют такую экзотику в качестве средства обхода антивирусов. Новейшие результаты подобных экспериментов — вымогательские программы DeroHE и Vovalex; первая написана на Nim, вторая — на D.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Троян удаленного доступа пугает жертв дикими криками и страшными картинками

Эксперты ESET обнаружили необычный плагин, созданный для NonEuclid RAT. Модуль использует Windows API для подачи громких звуковых сигналов и параллельно отображает картинку, которая может привидеться только в страшном сне.

Объявившийся в этом году троян NonEuclid — один из многочисленных форков опенсорсного AsyncRAT. Он тоже обладает модульной архитектурой, позволяющей расширить функциональность зловреда.

При создании NonEuclid вирусописатели дали волю своей фантазии: в отличие от более «классических» собратьев DcRAT и VenomRAT, их детище умеет шифровать данные, брутфорсить пароли к FTP и SSH, подменять адреса криптокошельков в буфере обмена, внедрять в PE-файлы пейлоад по выбору оператора, в том числе на USB-устройствах.

Найденный исследователями новый плагин именуется «Screamer» («кричалка», «пугалка»). В него вшиты пять изображений, и по команде оператора зловред выбирает одно из них для вывода.

Он также получает WAV-файл и значение задержки, а при проигрывании выводит звук и высокие частоты на максимум, манипулируя Windows API.

 

Исследователи полагают, что столь необычный компонент предназначен для диверсий (в случае использования зараженной системы для критически важных операций) и шантажа.

Написанный на C# инструмент удаленного администрирования AsyncRAT был опубликован на GitHub как проект с открытым исходным кодом в 2019 году. С тех пор злоумышленники неустанно плодят вредоносные клоны с дополнительными возможностями.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru