Новый бесфайловый троян использует реестр Windows как хранилище

Новый бесфайловый троян использует реестр Windows как хранилище

Новый бесфайловый троян использует реестр Windows как хранилище

Новый JavaScript-троян, обеспечивающий злоумышленникам удалённый доступ, распространяется с помощью социальной инженерии. Отличительной особенностью зловреда стала «бесфайловая» техника, помогающая избежать детектирования антивирусными средствами.

Исследователи из Prevailion назвали троян «DarkWatchman». Согласно анализу, этот вредонос задействует алгоритм генерации доменов (DGA) для идентификации инфраструктуры командного сервера (C2), а системный реестр Windows используется для всех операций с хранилищем — именно так троян обходит антивирусы.

По словам Мэтта Стэфорда и Шермана Смита из команды Prevailion, DarkWatchman может перекомпилироваться и обновляться, а также «использует новые методы закрепления в атакованной системе». Таким образом, авторы шагнули ещё дальше в развитии бесфайловых вредоносов.

Кстати, одной из жертв операторов нового трояна стала некая российская корпорация, которую атаковали, предположительно, в начале ноября. Учитывая функциональные возможности и назначение DarkWatchman, исследователи сделали вывод, что он используется в качестве разведывательного инструмента для кибервымогателей.

Интересно, что такой подход поможет киберпреступникам избавиться от необходимости нанимать сторонних хакеров, которые обычно отвечают за копирование и извлечение вредоносного файла в систему.

Использование DarkWatchman в качестве начального этапа атаки шифровальщика позволит злоумышленникам лучше контролировать всю операцию. Троян приходит жертвам с фишинговым письмом, замаскированным под уведомление о том, что свободное место на хранилище подходит к концу.

Помимо JavaScript-нагрузки, троян располагает кейлоггером, написанным на C#. Именно последний впоследствии хранится в системном реестре, чтобы избежать детектирования. Специалисты пока затрудняются сказать, какая именно группировка стоит за DarkWatchman.

Один символ — 18 месяцев тюрьмы: как полиция перепутала ники

Житель Новой Шотландии Брэндон Клейм провёл 18 месяцев в тюрьме из-за ошибки в имени пользователя. Полиция искала владельца аккаунта fus__ro_dah с двумя подчёркиваниями, но запросила данные учётки fus_ro_dah — с одним. Разница в один символ привела следствие к совершенно другому человеку.

История началась в 2018 году в Висконсине. Полиция обнаружила 125 сообщений между 12-летней девочкой и взрослым мужчиной в мессенджере Kik.

Настоящий подозреваемый использовал ник, отсылающий к крику Fus Ro Dah из The Elder Scrolls V: Skyrim.

Однако в запросе к Kik одно подчёркивание потерялось. Сервис передал данные Клейма, а его IP-адрес вывел американских следователей на Канаду. Полиция Галифакса обыскала дом мужчины и изъяла телефоны и ноутбуки.

Ни одного доказательства там не нашлось. На устройствах не было ни переписки с девочкой, ни её изображений, ни других материалов по делу. Следствие не смогло даже подтвердить, что Клейм заходил в Kik в нужный период.

Но отсутствие улик никого особенно не смутило: мужчину обвинили в совращении ребёнка через интернет, передаче несовершеннолетней откровенных материалов и хранении детской порнографии.

В 2023 году Клейма признали виновным, а в 2024-м отправили в тюрьму на 18 месяцев. Он отбыл срок полностью.

Ошибка вскрылась только при подготовке апелляции. Прокуратура согласилась, что дело развалилось ещё на первом запросе к Kik. Правильные данные, как выяснилось, указывали на мужчину по имени Джей с IP-адресом в Калифорнии.

Апелляционный суд Новой Шотландии отменил приговор и снял с Клейма все обвинения. В решении сказано предельно ясно: он фактически невиновен и вообще не должен был оказаться на скамье подсудимых. Вот только 18 месяцев жизни кнопкой Backspace уже не вернёшь.

RSS: Новости на портале Anti-Malware.ru