Загрузчика зловредов BazarLoader сменил новичок Bumblebee

Загрузчика зловредов BazarLoader сменил новичок Bumblebee

Авторы вредоносных атак, полагавшиеся на BazarLoader, перешли на нового загрузчика в стадии активной разработки — Bumblebee. За последние два месяца в Proofpoint зарегистрировали три имейл-кампании, знакомые по почерку, но сменившие перо.

Вредонос Bumblebee появился в поле зрения ИБ-экспертов в марте. Примечательно, что его дебют по времени совпал с утечкой внутренней информации об операциях Conti, а также исходников шифровальщика и API BazarLoader.

После слива загрузчик, которого облюбовали распространители Conti и Diavol, совсем исчез с радаров Proofpoint. В новых вредоносных кампаниях известные кибергруппы стали использовать Bumblebee — пока для доставки Cobalt Strike, Silver, Meterpreter или шеллкода.

Новобранец написан на C++ и обладает стандартными функциями даунлоудера: умеет собирать информацию о системе и отправлять ее на свой сервер, загружать и запускать на исполнение файлы, а также скрываться от обнаружения, уходя в состояние сна.

За месяц наблюдений создатели Bumblebee внесли в свой проект следующие изменения:

  • добавили функции проверки наличия враждебной среды (ВМ, сэндбоксов);
  • научили зловреда прибивать неугодные процессы (по результатам сравнения со вшитым списком);
  • ввели поддержку множественных C2;
  • обеспечили возможность коррекции периода ожидания команд (был жестко прописан в коде как 25 секунд);
  • создали ключ RC4 для шифрования сообщений при C2-обмене.

Схема внедрения Bumblebee с помощью поддельных писем пока использует вредоносные ISO-файлы, веб-хранилище Microsoft OneDrive и TDS-систему Prometheus (для перенаправления трафика при активации ссылки в HTML-вложении).

 

В марте Proofpoint зафиксировала две Bumblebee-кампании. Одну из них провела группировка, отслеживаемая как TA579; в качестве приманки злоумышленники использовали имя DocuSign. Авторы другой спам-кампании распространяли ложные обвинения в краже картинок, защищенных авторским правом, от имени легитимных сайтов — там, где формы обратной связи позволяли подавать такие жалобы и выносить их на обсуждение.

Фальшивые письма в рамках апрельской Bumblebee-кампании были оформлены как ответ в продолжение переписки. К сообщению был прикреплен запароленный ZIP-файл — якобы счет-фактура, в котором скрывался ISO со зловредной начинкой. 

Не исключено, что злоумышленники (скорее всего, теневые брокеры доступа) получают Bumblebee из того же источника, что ранее предоставлял им BazarLoader. Последнего, как известно, создали разработчики TrickBot, часть которых впоследствии ушла под крыло преступного синдиката Conti.

Аналитики из Cybereason обнаружили, что Bumblebee использует такой же механизм перехвата функций и способ маскировки хукинга, что и модуль веб-инжектов TrickBot. Схожесть говорит в пользу предположения, что авторы нового загрузчика имели доступ к исходникам некогда грозного трояна.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Browser-in-the-browser: мошенники угоняют учетки геймеров в Steam

Group-IB обнаружила 150 мошеннических ресурсов, замаскированных под популярную платформу компьютерных игр — Steam. Учетные записи геймеров угоняют незаметной фишинговой техникой “Browser-in-the-browser“.

Сейчас на Steam зарегистрировано 120 миллионов геймеров, а число продаваемых на этой платформе игр превышает 50 тыс. единиц. Речь о бестселлерах: Half-Life, Counter-Strike и Dota 2. Цена аккаунта начинающего игрока составляет десятки долларов, аккаунты ведущих пользователей оцениваются в $100 000 — $300 000.

С момента запуска платформы в 2003 году киберпреступники с переменным успехом пытались завладеть “прокаченными” аккаунтами геймеров, но без особого результата.

Теперь жертв заманивают на страницу-приманку чатовыми предложениями присоединиться к киберспортивному турниру по League of Legends, Counter-Strike, Dota 2, PUBG. На сайте можно проголосовать за команду, купить билеты, получить внутриигровой предмет или скин. Еще один способ — реклама в популярном видео с игрой (запись стрима, геймплей) или в описании к нему.

Применяя технику Browser-in-the-browser, злоумышленники пользуются тем, что на платформе Steam аутентификация происходит во всплывающем окне, а не в новой вкладке, говорят эксперты Group-IB.

В отличие от большинства мошеннических ресурсов, которые открывают фишинговую страницу в новой вкладке или делают переход, новая техника открывает поддельное окно браузера в прежней вкладке.

Практически каждая кнопка на мошенническом ресурсе выводит форму ввода данных учетной записи, повторяющую оригинальное окно Steam. Во всплывающем окне есть фальшивый “зеленый замочек” — иконка SSL-сертификата организации.

Ссылка в адресной строке поддельного окна не отличается от оригинальной — её можно выделить, скопировать, открыть в другой вкладке. Кнопки работают корректно, окно можно двигать по экрану. Кроме того, на обнаруженных в июле фишинговых ресурсах можно выбрать один из 27 языков.

Геймер вводит данные в фишинговой форме, они сразу отправляются злоумышленнику и автоматически вводятся на официальном ресурсе. Если ввести данные некорректно (один из способов проверки подлинности ресурса из игровых пабликов), то новая фишинговая форма сообщит об ошибке, как “настоящий” Steam. Если у жертвы включена двухфакторная аутентификация, то мошеннический ресурс покажет запрос кода в дополнительном окне.

“Похоже, прежние советы, которые несколько лет назад помогали геймерам определить фишинговый сайт, сегодня уже бесполезны против нового метода мошенников, — отмечает Александр Калинин, руководитель Центра реагирования на инциденты информационной безопасности Group-IB. — Фишинговые ресурсы, использующие технологию Browser-in-the-browser, представляют опасность даже для опытных пользователей Steam, соблюдающих основные правила кибербезопасности”.

В отличие от распространенных мошеннических схем, в которых наборы готовых инструментов для фишинговых страниц разрабатываются для продажи, решения Browser-in-the-browser для Steam держатся злоумышленниками в секрете.

“Мы обращаем внимание игрового комьюнити на новую схему мошенничества и призываем соблюдать рекомендации и быть внимательными при вводе своих данных, — предупредили в Group-IB.

Как отличить фишинговую форму Browser-in-the-browser:

  • Сверить дизайн заголовка и адресной строки открывшегося окна. Подделка может отличаться от стандартной для вашего браузера. Стоит обратить внимание на шрифты и вид кнопок управления.
  • Проверить, открылось ли новое окно в панели задач. Если нет — окно поддельное.
  • Попытаться увеличить/уменьшить окно — поддельное не предоставляет такой возможности. Также не получится его развернуть на весь экран.
  • Окно ограничено экраном браузера — его не получится передвинуть на элементы управления изначальной вкладки.
  • Кнопка сворачивания поддельного окна просто закрывает его.
  • В фишинговой форме “замочек”, отображающий сертификат, — обычное изображение. При нажатии на него не произойдет ничего, тогда как настоящий предложит посмотреть информацию о SSL-сертификате.
  • Поддельная адресная строка не функциональна. В некоторых случаях она не позволяет ввести другой URL, но даже если позволит — перейти на него в этом же окне будет невозможно.
  • Окно перестанет появляться при отключении исполнения JS-скриптов в настройках браузера.
Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru