Американцы обезглавили Linux-ботнет Cyclops Blink

Американцы обезглавили Linux-ботнет Cyclops Blink

Американцы обезглавили Linux-ботнет Cyclops Blink

Минюст США рапортует об успешном завершении операции по обезвреживанию сетевых устройств WatchGuard, которые злоумышленники использовали для управления бот-сетью Cyclops Blink. В прошлом месяце ФБР с разрешения суда очистили все выявленные C2-девайсы от инфекции и лишили злоумышленников возможности отдавать через них команды сотням зараженных хостов.

Linux-зловред, на основе которого построен ботнет Cyclops Blink, активен в интернете как минимум с июля 2019 года. Велика вероятность, что он является прямым наследником VPNFilter, авторство которого приписывают Sandworm, она же APT 28 и Fancy Bear (американские спецслужбы уверены, что это хакеры из ГРУ).

Долгое время Cyclops Blink атаковал только файрволы WatchGuard FireBox, однако недавно появилась версия, нацеленная на роутеры ASUS. Вредонос проникает на устройства через эксплойт, устанавливается под видом обновления прошивки и сливает хозяевам данные зараженной системы. В ответ он может получить команду на загрузку и запуск дополнительных файлов (роль C2 при этом исполняют полторы сотни зараженных устройств FireBox).

Совокупно в составе ботнета исследователям удалось выявить более 1,5 инфицированных устройств в 70 странах. Тотальная очистка в задачи мартовской операции в США не входила, участники только деактивировали C2-механизм — скопировали и удалили вредоносный код на всех обнаруженных командных FireBox и закрыли порты, которые ботоводы использовали для подключения (законный владелец сможет потом откатить это изменение перезапуском).

Власти США подчеркивают, что поиска информации о сетях жертв при этом не проводилось; специалисты лишь собрали серийные номера C2-устройств с помощью скрипта и произвели очистку. ФБР уже уведомило владельцев FireBox о таком вмешательстве. Удалось ли обезвредить центры управления Cyclops Blink в других странах, Минюст не сообщает — в анонсе лишь отмечено, что ФБР еще в феврале пыталось через зарубежных коллег растиражировать информацию об инфекции и абьюзах.

Поскольку большинство зараженных устройств WatchGuard и ASUS по-прежнему пребывают в этом состоянии, жертвам придется самостоятельно заняться очисткой, следуя рекомендациям вендоров.

Мошенники научились блокировать ваши карты по звонку

У мошенников появилась неприятная схема — теперь они звонят в банки, представляются самими клиентами и просят заблокировать их карты. И что самое плохое, иногда это действительно работает. Один программист получил очередные «угрожающие» сообщения в Telegram — классический набор фраз, но с неожиданной деталью: злоумышленники заявили, что «уже заблокировали ему карты».

И в тот же момент карты действительно оказались заблокированы. Экономист Павел Комаровский рассказал об этом в своём телеграм-канале.

Комаровский опубликовал часть переписки: в ней мошенники грозили отключить не только банковские карты, но и сим-карты родственников. А в качестве «финального аргумента» обещали прислать людей, которые «переломают ноги». Звучит как очередной страшилка, но финал истории оказался куда более приземлённым — и тревожным.

 

 

В банках подтвердили: карты были заблокированы по инициативе клиента. То есть мошенники просто позвонили и, зная ФИО и дату рождения, смогли убедить операторов выполнить запрос. Эти данные часто утекали в хакерских базах, и достать их сегодня несложно.

Эксперты считают, что подобные атаки легко масштабировать. Достаточно кол-центра и нейросети, умеющей подделывать голос жертвы — и схема превращается в конвейер.

Комаровский призывает банки усиливать идентификацию клиентов, а граждан — не вступать в переговоры с мошенниками и объяснить близким, что теперь злоумышленники могут «отключать» карты буквально по звонку.

В тот же день компания F6 сообщила о другой активности мошенников: Android-трояны в России маскируют под приложения для таксистов и курьеров. Пользователей заманивают обещаниями «уникальных функций», а на деле подсовывают вредоносную версию в надежде получить доступ к устройству.

RSS: Новости на портале Anti-Malware.ru