MyloBot утверждает, что застукал вас на порносайте, требует $2732

MyloBot утверждает, что застукал вас на порносайте, требует $2732

Анализ новой версии MyloBot, проведенный в ИБ-компании Minerva, показал, что за три года выполняемый в памяти Windows-зловред мало изменился. Он по-прежнему прилагает много усилий, чтобы остаться незамеченным, однако созданный на его основе ботнет используется лишь для шантажа по электронной почте.

Вредонос MyloBot впервые привлек внимание ИБ-экспертов в 2018 году — прежде всего богатым набором средств сокрытия от обнаружения. Обойти антивирусы ему помогает использование техники process hollowing (создание нового экземпляра запущенного процесса в состоянии ожидания и замена легитимного кода в памяти вредоносным).

Эти боты умеют выявлять исполнение под отладчиком, в виртуальной машине и песочнице, отключать встроенный антивирус Microsoft и помощника по обновлению Windows, выжидать две недели перед подключением к C2. Они также не терпят конкуренции и безжалостно прибивают exe-процессы, не связанные с работой ОС.

Датированный 2022 годом образец MyloBot, которого изучили израильтяне, отличается от предшественников отсутствием некоторых антидебаг- и антиВМ-функций, а также видоизмененной схемой внедрения вредоносного кода. Помимо классического process hollowing зловред также применяет еще две техники:

  • APC injection  (использует очередь асинхронного вызова процедур потока для выполнения полезной нагрузки в контексте svchost.exe) и
  • подмену DLL с помощью CreateRemoteThread (при вызове эта функция создает поток в адресном пространстве процесса, в данном случае любого 64-битного или notepad.exe).

К удивлению аналитиков, цель, которую преследовали операторы столь хитроумного зловреда, оказалась тривиальной: загруженный с C2-сервера финальный пейлоад попытался отослать спам-сообщение с требованием $2732 в биткоинах за уничтожение компромата, которым якобы владеет отправитель.

Автор письма утверждал, что ему удалось заразить компьютер адресата, когда тот зашел на порносайт, и в итоге получить компрометирующие видеозаписи (жертва во время просмотра порноконтента). В случае отказа платить шантажист грозился разослать эти материалы по всем контактам, украденным с помощью вредоноса из Facebook, мессенджера и email.

 

Анализ также показал, что MyloBot сохранил способность загружать и другие, дополнительные файлы. Видимо, ботоводы решили обеспечить себе бэкдор на случай продолжения атаки.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Google выбрала 15 европейских ИБ-стартапов для участия в программе роста

Объявлены результаты конкурса, организованного Google для европейцев в рамках программы Cybersecurity Startups Growth Academy. Из 120 претендентов на помощь техногиганта отобраны 15 стартапов из восьми стран.

Программа поддержки начинающих ИБ-предпринимателей, запущенная Google, рассчитана на три месяца и предполагает обучение, менторство и финансовое стимулирование. За это время участники должны получить базовые навыки ускорения развития бизнеса, его интернационализации и масштабирования с помощью инструментов и продуктов Google.

Курс обучения стартует в следующем месяце, встречи и семинары будут проводиться в разных городах Европы. В качестве менторов выступят эксперты компании, в том числе специалисты VirusTotal и купленной в прошлом году Mandiant. Руководство стартапов сможет получить консультации по выработке стратегии, организации продаж, формированию партнерских связей.

 

«Привлечение стартапов на передовые рубежи обороны Европы — не только хороший стратегический ход, но и настоятельная необходимость, — считает Ройал Хансен (Royal Hansen), вице-президент Google, курирующий аспекты приватности, надежности и безопасности в разработках. — Важность кибербезопасности признают 92% предприятий малого и среднего бизнеса в регионе, однако готовность к атакам ощущают лишь 16%».

Проект по поддержке стартапов сферы ИБ, но более масштабный, реализовала также «Лаборатория Касперского». С похожей инициативой в прошлом году выступили «РТК-Солар» и Фонд «Сколково»; запущенная ими общероссийская программа DeepTech Cybersecurity к декабрю дала первые результаты.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru