Windows-машины атакует Kraken — новый Golang-бот в стадии разработки

Windows-машины атакует Kraken — новый Golang-бот в стадии разработки

Windows-машины атакует Kraken — новый Golang-бот в стадии разработки

Исследователи из ZeroFox предупреждают о новой угрозе — растущем Windows-ботнете Kraken, который используется пока для кражи информации, в том числе из криптокошельков. Взятый за основу вредонос с функциями бэкдора написан на Go; его код активно совершенствуется.

Эксперты обнаружили Kraken (не путать с одноименным крупным ботнетом, наводнявшим спамом почтовые ящики в 2008-2009 годах!) минувшей осенью. Анализ образцов зловреда показал, что он создан на основе исходников, выложенных на GitHub 10 октября — ботоводами или сторонним разработчиком, установить не удалось.

Распространяется новичок с помощью загрузчика SmokeLoader, притом довольно быстро. Каждый перенос командного сервера (IP-адреса меняются часто из-за постоянных доработок кода Kraken) влечет появление сотен новых ботов.

В ходе установки вредонос пытается прописаться в папке %AppData%\ — если повезет, в виде скрытого файла с безобидным именем taskhost.exe, Registry.exe или Windows Defender GEO.exe. Он также добавляет себя в список исключений Microsoft Defender, регистрируется в системе как некая сетевая служба и прописывается в реестре на автозапуск.

Функциональность новобранца вполне стандартна, но за время наблюдений много раз подвергалась корректировке; вирусописатели то вносили изменения в существующие компоненты, то опробовали новые. Последние варианты Kraken обладают следующими возможностями:

  • сбор информации о зараженной системе;
  • обеспечение постоянного присутствия;
  • выполнение шелл-команд;
  • скриншоты;
  • кража данных из программ-криптокошельков (Armory, Atomic Wallet, Bytecoin, Electrum, Ethereum, Exodus, Guarda, Jaxx Liberty, Zcash);
  • загрузка и запуск исполняемых файлов.

В некоторых сборках также был реализован брутфорс SSH, но эту функцию не использовали и быстро удалили.

Панель управления Kraken тоже постоянно дорабатывается. Текущая версия (Anubis Panel) позволяет оператору вести статистику по ботам, отдавать команды точечно или в группах, менять полезную нагрузку, просматривать историю задач и информацию о жертвах.

Из дополнительных зловредов Kraken явно отдает предпочтение RedLine Stealer. Иногда на ботнет загружаются другие инфостилеры или майнер криптовалюты; такие услуги обеспечивают ботоводам стабильный доход — по оценкам ZeroFox, порядка $3000 в месяц. Зачем им нужен сбор краденых данных, пока непонятно.

Роскомнадзор случайно вырубил R.E.P.O., Call of Duty: Mobile и Warhammer

В минувшие выходные россияне столкнулись с массовым сбоем зарубежных игр. При попытке подключения к онлайн-проекту у многих геймеров возникала ошибка 50000 — превышение времени ожидания ответа сервера.

Первыми на проблемы пожаловались поклонники R.E.P.O. и VRChat, затем стали также отваливаться Party Animals, Geometry Dash, Warhammer Gladius, Kards, Back 4 Blood, Call of Duty: Mobile.

Как выяснилось, иностранные игровые проекты пали жертвой усиления борьбы Роскомнадзора с телефонными мошенниками в мессенджерах, а также VPN-сервисами, нарушающими российское законодательство.

Дело в том, что вводимые РКН ограничения реализуются через ТСПУ, установленные на сетях всех российских провайдеров. Блокировка сетевых пакетов осуществляется автоматически на основании используемых подсетей, портов и протоколов, без учета контекста.

 

В результате под раздачу могут попасть и невинные жертвы. Аналогичные ситуация с сопутствующими потерями возникла лет восемь назад при попытке РКН наказать за непослушание Telegram, а позднее — Twitter.

Целевую блокировку игры регулятор предпринял в минувшем декабре, ограничив россиянам доступ к Roblox, чтобы оградить детей и подростков от вредного для них контента.

Отсутствие регулирования в отрасли, повышающей киберриски для малолетних геймеров, заботит также парламентариев. Госдума РФ предложила обеспечить возможность самозапрета на внутриигровые платежи и подготовила законопроект, обязывающий разработчиков и издателей игр ввести маркировку контента, а также идентификацию пользователей по номеру телефона и данным из ЕСИА либо ЕБС.

RSS: Новости на портале Anti-Malware.ru