Игровая индустрия и геймеры — быстрорастущая цель для хакеров

Игровая индустрия и геймеры — быстрорастущая цель для хакеров

Игровая индустрия и геймеры — быстрорастущая цель для хакеров

Индустрия видеоигр в целом и геймеры в частности в последнее время стали объектом атак киберпреступников. В новом отчёте специалисты Akamai рассказали о главной тенденции ковидного года — взломе любителей видеоигр.

Когда в 2020 году всех отправили сидеть дома, многие пользователи стали проводить больше времени за играми. Разработчики тоже приняли новые условия и начали выпускать интересные игровые проекты.

Само собой, это не могло остаться без внимания киберпреступников, поэтому за 2020 год исследователи зафиксировали более 240 млн подобных атак. В сравнении с 2019 эта цифра выросла на 340%. При этом специалисты полагают, что количество кибератак на геймеров продолжит расти даже после окончания пандемии и возвращения жизни в нормальное русло.

В исследовании Akamai под названием «Gaming in a Pandemic» также говорится о впечатляющем росте атак на игровую индустрию с 2018 по 2020 год — на целых 415%. В основном отметились скачки числа фишинговых атак и подбор учётных данных, принадлежащих геймерам.

Основной целью злоумышленников стали персональные данные любителей видеоигр. В сущности, именно личная информация является основной финансовой мотивацией киберпреступников, поскольку её можно продать другим злоумышленникам и даже геймерам, ищущим дешевый доступ к новым играм.

«Аккаунты геймеров действительно хорошо продаются. Скажем, вы хотите купить доступ к конкретной игре, тогда вы можете обратиться к киберпреступникам, которые продадут вам имена пользователей и пароли, которые помогут войти в игру», — объясняет Стив Реган, автор исследования (PDF).

Специалисты привели пример в виде скриншота одной из торговых площадок, где размещены скомпрометированные учётные записи геймеров:

 

Такие площадки действуют профессионально, уже набив руку на продаже нелегально добытых аккаунтов. Фактически хакеры создали собственный чёрный рынок, специализирующийся на геймерской индустрии. Также команда Akamai обнаружила специальные группы и чаты в Discord и Telegram, посвящённые взлому геймеров и продаже их данных.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Шифровальщик LockBit все еще жив и обрел загрузчик, позволяющий обойти EDR

Проведенный в Flashpoint анализ LockBit 5.0 подтвердил, что новая версия зловреда построена на базе v4.0. Шифровальщик также стал еще более скрытным из-за использования кастомного загрузчика и обрел деструктивные функции.

С выпуском LockBit 5.0 его развертывание стало осуществляться в два этапа: вначале загружается самостоятельный лоадер, обеспечивающий обход EDR, а затем — основной пейлоад, не утративший прежних функций.

Шифровальщик по-прежнему откатывает исполнение на машинах жителей стран СНГ, но стал обходить стороной также Филиппины. Записка с требованием выкупа (ReadMeForDecrypt.txt) содержит привычный текст, сохранилась даже опечатка в англоязычном слове «информация» — «inforTmation».

 

Для обхода EDR новый загрузчик LockBit использует технику process hollowing (для внедрения вредоноса в экземпляр defrag.exe), отвязку библиотек (повторно загружает с диска чистые NTDLL и Kernel32, перезаписывая в памяти хуки защитных решений), патчинг трассировки событий Windows, а также скрывает расширения файлов.

Изолированный от основного пейлоада зловред умеет распознавать вызовы API по хешам, перенаправлять поток исполнения на разрешенные вызовы API, динамически рассчитывать адреса перехода для обфускации потока управления.

Обновленный LockBit научился обрабатывать данные на локальных и сетевых дисках, в папках по выбору оператора, а также работать в многопоточном режиме с использованием XChaCha20.

Опциональные деструктивные функции позволяют зловреду шифровать файлы незаметно для жертвы — не меняя расширений и без вывода записки с требованием выкупа.

Результаты анализа показали, что грозный шифровальщик все еще актуален как угроза и даже продолжает развиваться — невзирая на попытки ликвидации инфраструктуры LockBit, взлом сайта RaaS (Ransomware-as-a-Service, вымогательский софт как услуга) и слив переписки в рамках LockBit-партнерки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru