Тулкит Eternity: инфостилер, червь, шифровальщик с автосборкой в Telegram

Тулкит Eternity: инфостилер, червь, шифровальщик с автосборкой в Telegram

В сети Tor обнаружен новый MaaS-сервис (Malware-as-a-Service, зловред как услуга): теневые бизнесмены предлагают набор различных инструментов атаки, оформленных в виде модулей. Тулкит Eternity активно продвигается через Telegram, там же можно с помощью бота создать кастомную сборку вредоносного компонента, выбранного для активации.

Новости MaaS-сервиса Eternity Project, апдейты софта и инструкции пользователя публикуются в его Telegram-канале, который уже собрал более 500 подписчиков. Исследователи из американского стартапа Cyble изучили комментарии в этом сообществе и убедились в том, что новый вредоносный проект — отнюдь не фейк, услугами уже вовсю пользуются, и, судя по наличию семплов в дикой природе, небезуспешно.

 В настоящее время в состав тулкита входят инфостилер, майнер, модуль для подмены адресов криптокошельков в буфере обмена (clipper), шифровальщик и червь с дроппером; заявлен также DDoS-бот, но он пока находится в стадии разработки. Вредоносный софт предоставляется в пользование по годовой подписке, оплата взимается в криптовалюте, на каждый функциональный модуль установлена своя цена.

 

Из вредоносных компонентов Eternity экспертам удалось раздобыть только инфостилер. Анализ показал, что этот зловред похож на DynamicStealer, код которого опубликован на GitHub. Он умеет воровать данные из следующих программ:

  • браузеров (Chrome, Firefox, Edge, IE, Opera и еще более 20 наименований); криптовалютных расширений браузеров и офлайн-кошельков;
  • менеджеров паролей;
  • мессенджеров (шесть, включая Telegram, Discord и WhatsApp);
  • почтовых, FTP- и VPN-клиентов;
  • приложений Twitch, OBS и Steam.

В качестве дополнительных опций пользователь может выбрать защиту от запуска в виртуальной машине и от повторного запуска с того же компьютера. После сборки вредоносному файлу можно присвоить расширение .exe, .scr, .com или .pif.

Об остальных модулях тулкита можно судить пока лишь по описанию на сайте и в Telegram-канале Eternity. Так, майнер монеро обладает скромными размерами, не отображается в списках диспетчера задач и умеет вновь запускать свой процесс после того, как его прибьют.

Утилита-клиппер нацелена на кошельки для биткоинов, лайткоинов, Zcash и Bitcoin Cash. Она привязана к Telegram-боту (шлет отчеты в мессенджер) и тоже прячется от диспетчера задач.

Червь Eternity способен распространяться через флешки, общие папки в локальной сети, локальные файлы, облачные хранилища (GoogleDrive, OneDrive, DropBox), интерпретатор Python (загрузчик внедряется во все скомпилированные проекты), а также спам-рассылки в Discord и Telegram (с аккаунта оператора зловреда по всем его контактам).

Самый дорогостоящий вредонос — шифровальщик. Он способен работать офлайн, использует AES + RSA и нацелен на документы, фото и базы данных, хранящиеся на жестких дисках, USB-накопителях, а также в локальных папках общего пользования. Зловред позиционируется как FUD — с нулевым уровнем детектирования (видимо, проверялся на VirusTotal) и снабжен таймером, с помощью которого можно задать срок действия ключа расшифровки; когда он истечет, выкуп уже не поможет.

Аналитики не исключают, что новый тулкит может оказаться очередным skidware, творением непрофессионалов, использующих чужой труд. Тем не менее, наличие дополнительных модулей, техподдержки, автоматизированной сборки и подробных инструкций по использованию способны сделать Eternity мощным орудием в руках неискушенных хакеров — и серьезной угрозой для интернет-пользователей.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Браузер в TikTok может отслеживать пароли и кредитки пользователей

В TikTok нашли код, который видит все действия пользователя во встроенном в приложении браузере, включая комбинации клавиш. Сервис разработал эту опцию намеренно, считают эксперты.

Когда пользователь TikTok заходит на сайт по ссылке в приложении, сервис использует код, который позволяет отслеживать почти все действия на внешних веб-страницах. Об этом говорится в исследовании Феликса Краузе. Разработчики видят даже сочетание клавиш. Это значит, что TikTok может собирать пароли и данные кредитных карт.

Когда пользователей переходит по ссылке, приложение не открывает страницу в обычных браузерах. По умолчанию используется встроенный в приложение браузер TikTok, который копирует открывающуюся информацию.

TikTok может отслеживать действия пользователя, интегрируя строки JavaScript в веб-страницы. Создаются новые команды, которые предупреждают TikTok о том, что посетители делают на страницах.

Таков был осознанный выбор TikTok, говорит Феликс Краузе, один из авторов исследования. Это непростая техническая задача. Такое не происходит по ошибке или случайно. Краузе основал компанию Fastlane, сервис по тестированию и внедрению приложений, которую Google купил пять лет назад.

Сам Tiktok уверяет, что не отслеживает пользователей в своем браузере. Компания подтвердила наличие подобных функций в коде, но заявила, что не пользуется ими.

“Мы используем встроенный в приложение браузер для оптимального взаимодействия, как и другие платформы, — говорится в заявлении пресс-службы TikTok. — Код Javascript работает только для настроек, устранения неполадок и мониторинга. Например, для проверки скорости загрузки страницы”.

Исследователи предупреждают, что TikTok может отслеживать даже больше данных во встроенном браузере. Пароли и номера кредиток могут быть лишь верхушкой айсберга.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru