Windows-машины атакует Kraken — новый Golang-бот в стадии разработки

Windows-машины атакует Kraken — новый Golang-бот в стадии разработки

Windows-машины атакует Kraken — новый Golang-бот в стадии разработки

Исследователи из ZeroFox предупреждают о новой угрозе — растущем Windows-ботнете Kraken, который используется пока для кражи информации, в том числе из криптокошельков. Взятый за основу вредонос с функциями бэкдора написан на Go; его код активно совершенствуется.

Эксперты обнаружили Kraken (не путать с одноименным крупным ботнетом, наводнявшим спамом почтовые ящики в 2008-2009 годах!) минувшей осенью. Анализ образцов зловреда показал, что он создан на основе исходников, выложенных на GitHub 10 октября — ботоводами или сторонним разработчиком, установить не удалось.

Распространяется новичок с помощью загрузчика SmokeLoader, притом довольно быстро. Каждый перенос командного сервера (IP-адреса меняются часто из-за постоянных доработок кода Kraken) влечет появление сотен новых ботов.

В ходе установки вредонос пытается прописаться в папке %AppData%\ — если повезет, в виде скрытого файла с безобидным именем taskhost.exe, Registry.exe или Windows Defender GEO.exe. Он также добавляет себя в список исключений Microsoft Defender, регистрируется в системе как некая сетевая служба и прописывается в реестре на автозапуск.

Функциональность новобранца вполне стандартна, но за время наблюдений много раз подвергалась корректировке; вирусописатели то вносили изменения в существующие компоненты, то опробовали новые. Последние варианты Kraken обладают следующими возможностями:

  • сбор информации о зараженной системе;
  • обеспечение постоянного присутствия;
  • выполнение шелл-команд;
  • скриншоты;
  • кража данных из программ-криптокошельков (Armory, Atomic Wallet, Bytecoin, Electrum, Ethereum, Exodus, Guarda, Jaxx Liberty, Zcash);
  • загрузка и запуск исполняемых файлов.

В некоторых сборках также был реализован брутфорс SSH, но эту функцию не использовали и быстро удалили.

Панель управления Kraken тоже постоянно дорабатывается. Текущая версия (Anubis Panel) позволяет оператору вести статистику по ботам, отдавать команды точечно или в группах, менять полезную нагрузку, просматривать историю задач и информацию о жертвах.

Из дополнительных зловредов Kraken явно отдает предпочтение RedLine Stealer. Иногда на ботнет загружаются другие инфостилеры или майнер криптовалюты; такие услуги обеспечивают ботоводам стабильный доход — по оценкам ZeroFox, порядка $3000 в месяц. Зачем им нужен сбор краденых данных, пока непонятно.

Подпишитесь на новости

GPT-6 Astra расшифровала послание времён Наполеона спустя 217 лет

Шифр пережил империи, войны и поколения исследователей, а теперь за него взялся ИИ. Инженер Картер Черч рассказал в своём блоге, как с помощью GPT-6 Astra восстановил содержание письма генералу Огюсту де Мармону. По его словам, потребовалось около шести часов работы модели и несколько вечеров собственного времени.

Послание отправили в марте 1809 года по распоряжению Наполеона через его пасынка Эжена де Богарне. Мармон командовал войсками в Далмации, и ему нужно было знать расположение французских и союзных армий перед войной с Австрией.

Ключ не сохранился. На скане — около 1300 зашифрованных единиц и 155 разных знаков. Причём одна буква могла обозначаться несколькими символами: обычный подсчёт частот здесь буксует.


ИИ прочитал изображение и использовал 33 ранее установленных значения. Остальные подбирались методом имитации отжига: варианты оценивали по статистике французских текстов. Затем расшифровку проверяли по исходному скану.

Внутри оказалась военная сводка с уверенным прогнозом: Австрии предстоит атака с нескольких направлений, и она движется к поражению.


Черч опубликовал восстановленный ключ и скрипты для проверки результата. Пять знаков остаются неоднозначными, но, по его оценке, общий смысл от этого не меняется. Автор также сообщает, что историк криптографии Сатоси Томокиё проверил решение, после чего письмо внесли в список расшифрованных.

RSS: Новости на портале Anti-Malware.ru