Неуловимый JavaScript-дроппер щедро раздает RAT-троянов и инфостилеров

Неуловимый JavaScript-дроппер щедро раздает RAT-троянов и инфостилеров

Неуловимый JavaScript-дроппер щедро раздает RAT-троянов и инфостилеров

Исследователи из HP обнаружили нового JavaScript-зловреда, который уже активно используется для засева троянов удаленного доступа и программ для кражи информации. Вредонос, получивший кодовое имя RATDispenser, пока плохо детектируется антивирусами.

Новоявленный загрузчик, по данным экспертов, объявился в интернете три месяца назад. Из 155 выявленных образцов 94% работали как дроппер, то есть не использовали сетевые соединения для доставки целевой полезной нагрузки.

Распространяется RATDispenser через спам-письма с вредоносным вложением. Для маскировки приаттаченный файл снабжен двойным расширением — .txt.js.

С той же целью вирусописатели используют обфускацию; при запуске зловред расшифровывает себя и записывает VBScript-файл в папку %TEMP%, используя cmd.exe. В итоге на машину жертвы загружается RAT-троян или инфостилер.

На настоящий момент выявлено восемь разных вредоносов, доставляемых с помощью RATDispenser. Чаще всего это STTRAT или WSHRAT, остальные (AdWind, Formbook) — менее чем в 20% случаев. Не исключено, что операторы JavaScript-загрузчика предоставляют его в пользование как сервис (Malware-as-a-Service, MaaS).

Эксперты различают три версии вредоноса; больше пока не найдено, но в ближайшее время могут появиться новые. На VirusTotal, по данным HP, загружено 77 сэмплов; средний уровень детектирования — всего 11%.

Мошенники мстят тем, кого не удалось обмануть

Злоумышленники всё чаще мстят тем, кто не поддался на их уловки и отказался выполнять требования — например, называть код из СМС. В ход идут СМС-бомбинг и переводы небольших сумм с провокационными комментариями.

О подобных случаях рассказали изданию Lenta.ru эксперты Smart Business Alert (SBA) компании ЕСА ПРО (входит в ГК «Кросс технолоджис»).

По их словам, такие сценарии стали появляться на фоне того, что россияне всё чаще распознают типовые мошеннические схемы — с курьерской доставкой, записью в медучреждения или заказом домофонных ключей. Риск столкнуться с «местью» особенно высок, если потенциальная жертва отвечает злоумышленникам жёстко или грубо.

Аналитики выделяют два основных приёма. Первый — СМС-бомбинг: массовая отправка звонков и сообщений от имени различных компаний.

Мошенники пользуются слабой защитой систем обратной связи многих организаций, включая крупные, и рассылают сообщения от их имени. Подобную практику злоумышленники используют как минимум с 2023 года, хотя ранее она чаще применялась в атаках на бизнес.

Второй приём — переводы небольших сумм через СБП с провокационными комментариями вроде «за покупку наркотиков» или «за услуги дропа». Такие действия могут привести к более серьёзным последствиям: существует риск блокировки карты или попадания в базу данных Банка России. Для тех, кто оказывается в этом перечне, финансовые операции существенно ограничиваются.

RSS: Новости на портале Anti-Malware.ru