Криптобиржа Binance помогла задержать операторов вымогателя Clop

Криптобиржа Binance помогла задержать операторов вымогателя Clop

Криптобиржа Binance помогла задержать операторов вымогателя Clop

Знаменитая криптовалютная биржа Binance, как оказалось, сыграла значительную роль в недавнем аресте участников киберпреступной группировки, распространяющей программу-вымогатель Clop. В частности, представители криптобиржи помогли идентифицировать и задержать подозреваемых.

Сама Binance, называющая операторов Clop FANCYCAT, утверждает, что киберпреступники отмывали деньги, добытые не только в ходе атак шифровальщика, но и посредством другой нелегальной деятельности.

В своём блоге Binance объяснила, что команда безопасников, входящая в штат биржи, внесла свой вклад в международное расследование, которое в результате привело к задержанию членов группы, использующих Clop в кибератаках.

Как выяснили правоохранительные органы Украины, злоумышленникам удалось нанести финансовые потери в размере $500 миллионов. Чтобы отмыть полученные средства, преступники прибегали к помощи криптовалютных бирж.

 

«Этих злоумышленников привлекают ликвидность авторитетных бирж, разнообразные предложения цифровых активов, а также хорошо разработанные API», — пишут представители Binance.

Более того, криптобиржа выяснила, что группировка FANCYCAT стоит не только за отмыванием денег, связанных с атаками Clop, но и замешана в похожей активности в случае с Petya и другими вредоносными операциями. Именно эта информация помогла правоохранителям выйти на преступников.

Напомним, что на днях в Сети появилась новая порция украденных конфиденциальных данных, принадлежащих, судя по всему, новой жертве Clop. Это может говорить о том, что даже после задержания операции по распространению шифровальщика продолжаются.

Linux-ботнет SSHStalker старомоден: C2-коммуникации только по IRC

Специалисты по киберразведке из Flare обнаружили Linux-ботнет, операторы которого отдали предпочтение надежности, а не скрытности. Для наращивания потенциала SSHStalker использует шумные SSH-сканы и 15-летние уязвимости, для C2-связи — IRC.

Новобранец пока просто растет, либо проходит обкатку: боты подключаются к командному серверу и переходят в состояние простоя. Из возможностей монетизации выявлены сбор ключей AWS, сканирование сайтов, криптомайнинг и генерация DDoS-потока.

Первичный доступ к Linux-системам ботоводам обеспечивают автоматизированные SSH-сканы и брутфорс. С этой целью на хосты с открытым портом 22 устанавливается написанный на Go сканер, замаскированный под опенсорсную утилиту Nmap.

В ходе заражения также загружаются GCC для компиляции полезной нагрузки, IRC-боты с вшитыми адресами C2 и два архивных файла, GS и bootbou. Первый обеспечивает оркестрацию, второй — персистентность и непрерывность исполнения (создает cron-задачу на ежеминутный запуск основного процесса бота и перезапускает его в случае завершения).

Чтобы повысить привилегии на скомпрометированном хосте, используются эксплойты ядра, суммарно нацеленные на 16 уязвимостей времен Linux 2.6.x (2009-2010 годы).

 

Владельцы SSHStalker — предположительно выходцы из Румынии, на это указывает ряд найденных артефактов.

Исследователи также обнаружили файл со свежими результатами SSH-сканов (около 7 тыс. прогонов, все за прошлый месяц). Большинство из них ассоциируются с ресурсами Oracle Cloud в США, Евросоюзе и странах Азиатско-Тихоокеанского региона.

RSS: Новости на портале Anti-Malware.ru