Вредоносный JavaScript из тулкита Parrot TDS обнаружен на 70 000 сайтов

Вредоносный JavaScript из тулкита Parrot TDS обнаружен на 70 000 сайтов

Вредоносный JavaScript из тулкита Parrot TDS обнаружен на 70 000 сайтов

Масштабы TDS-системы Parrot, используемой киберкриминалом, оказались намного больше, чем сообщалось ранее. В 2021 году эксперты Sucuri выявили свыше 61 тыс. зараженных сайтов, работающих как шлюзы в рамках редирект-сервиса, в этом году — уже более 11 тысяч.

О появлении новой системы распределения трафика, которую в Avast нарекли Parrot TDS, стало известно в начале апреля. Ее функционирование обеспечивают скрипты, скрытно устанавливаемые на сайты WordPress и Joomla. Как оказалось, такие заражения в Sucuri отслеживают с февраля 2019 года — под именем NDSW/NDSX. По итогам прошлого года набор вредоносных скриптов, используемый в этой киберкампании, вошел в топ угроз для сайтов, выявленных экспертами.

Атака NDSW/NDSX начинается с JavaScript-инъекций. Вредоносный код внедряется во все файлы .js или добавляется к скриптам, встроенным в HTML-страницы; В редких случаях такой довесок можно обнаружить в базе данных, кешированной каким-нибудь плагином.

Подавляющее большинство вредоносных JavaScript-кодов содержат инструкцию if(ndsw===undefined), поэтому данный компонент тулкита исследователи условно назвали NDSW. Встречаются также варианты скриптов, использующие другую переменную — ndsj.

Основным назначением этих сценариев является запуск второй стадии атаки — доставка и выполнение JavaScript из внешнего источника. Для персонализации этой полезной нагрузки на скомпрометированный сервер обычно внедряется PHP-скрипт (в произвольную папку, но чаще всего — как /wp-admin/css/colors/blue/blue.php).

Этот прокси-компонент кодирует информацию о посетителе сайта (IP-адрес, браузер, реферер) и отправляет их на сервер TDS Parrot. Если ответ содержит ключевое слово «ndsx», происходит JavaScript-инъекция в зараженную веб-страницу — полезная нагрузка при этом выполняется на лету как встраиваемый сценарий. Поскольку скрипт, использующий переменную ndsx, загружается на стороне сервера, его источник невозможно выявить ни мониторингом трафика, ни статическим анализом на уровне клиента.

При отработке NDSX-скрипт скачивает со стороннего сайта финальную полезную нагрузку — откуда и какую, зависит от ранее составленного цифрового отпечатка жертвы. На Windows-компьютеры, по данным Sucuri, чаще всего доставляется JavaScript-загрузчик FakeUpdates, он же SocGholish, о котором в связи с Parrot сообщала Avast. Чтобы не направлять трафик на ресурсы, попавшие в черные списки, операторы TDS-системы часто меняют URL целевых зловредов.

В 2021 году Sucuri очистила от кодов Parrot TDS почти 20 млн JavaScript-файлов, найденных на зараженных сайтах; PHP-компонент был удален более 5400 раз. В этом году неприятных находок пока меньше — в первом случае 1,64 млн, во втором — 2900. Многие их этих сайтов вдобавок содержали бэкдоры, скрипты для черной оптимизации, японоязычный спам, JavaScript-редиректы, используемые в рамках недавно запущенной мошеннической кампании, а также уязвимые или устаревшие плагины и темы.

Взлом серверов для внедрения тулкита Parrot TDS в основном осуществляется с помощью эксплойтов, которых у злоумышленников, по всей видимости, много; этот арсенал постоянно обновляется, в том числе за счет 0-day. Получив доступ, взломщики закрепляют его путем установки бэкдоров и создания учетных записей админа CMS.

Сценарий вредоносных инъекций зависит от используемой уязвимости и уровня доступа, который она обеспечивает. Так, в тех случаях, когда уязвимость позволяет получить админ-доступ к сайту WordPress, хакеры обычно устанавливают фальшивый плагин wp-sp, wp-sps, wp-pimple или wp-dumpme, который создает PHP-прокси и открывает бэкдор, позволяющий выполнить любой код PHP на взломанном сайте.

Поскольку атаки на сайты в рамках текущей кампании NDSW/NDSX разнятся, Sucuri смогла дать лишь общие рекомендации по очистке от инфекции и усилению защиты:

  1. Смените пароль администратора CMS и удостоверьтесь, что все пользователи с админ-привилегиями вам известны.
  2. Проверьте все темы, плагины и другие сторонние компоненты на сайте, удалите незнакомые и неиспользуемые.
  3. Найдите и очистите все зараженные файлы и записи базы данных; их могут быть тысячи, поэтому придется использовать систему мониторинга целостности и бэкап — или как-то иначе автоматизировать этот процесс.
  4. Удостоверьтесь в актуальности CMS и всех компонентов сторонней разработки.
  5. Рассмотрите возможность использования WAF, который будет защищать сайт от большинства известных атак и сдерживать эксплойт, пока ваш софт ожидает обновления.

Закупки ИБ-решений выросли в 2025 году на 10%

По итогам 2025 года общий объём закупок в сфере информационной безопасности вырос на 9,3% и достиг 191,7 млрд рублей. Ключевым фактором роста стало укрупнение и усложнение контрактов. При этом количество сделок увеличивалось быстрее, чем рынок в денежном выражении: за год было завершено 51,3 тыс. закупок против 44,1 тыс. в 2024 году.

Такую статистику приводит «Коммерсантъ» со ссылкой на аналитиков СКБ Контур.

Самый быстрый рост показал сегмент небольших сделок на сумму до 600 тыс. рублей — их количество увеличилось почти на треть. Всего на такие закупки пришлось около 23 тыс. процедур общим объёмом 4,23 млрд рублей.

Основной вклад в рост обеспечил коммерческий сегмент, где количество сделок увеличилось на 14%. В то же время число процедур по 44-ФЗ и 223-ФЗ в целом осталось на уровне предыдущего года.

В денежном выражении динамика выглядит менее однозначной. Объём закупок по 44-ФЗ вырос на 12,6% — до 128,19 млрд рублей, по 223-ФЗ — на 20,6%, до 45,83 млрд рублей. Увеличилась и средняя стоимость контрактов: по 44-ФЗ — с 9,19 млн до 10,23 млн рублей, по 223-ФЗ — с 8,31 млн до 9,84 млн рублей. При этом в коммерческом сегменте зафиксировано снижение — с 21,33 млрд до 13,40 млрд рублей.

«При относительно стабильном числе закупок по 44-ФЗ и 223-ФЗ общий объём рынка и средняя цена контракта заметно выросли, что указывает на смещение спроса в сторону более дорогих и комплексных решений. На динамику также влияет применение национального режима в закупках, который меняет состав лотов и требования к приобретаемым решениям», — отметил заместитель руководителя продуктовой группы «Контур.Эгида» и Staffcop Юрий Драченин.

По его словам, ключевой причиной такой динамики стало укрупнение лотов: заказчики всё чаще объединяют в рамках одной закупки сами решения и услуги по их внедрению, интеграции и поддержке.

Директор по продуктовой стратегии UserGate Иван Чернов отметил, что заказчикам удобнее приобретать комплексное решение у одного поставщика, поскольку это упрощает логистику и последующее обслуживание.

Снижение темпов роста рынка представитель UserGate объяснил следующим образом: «На мой взгляд, к 2026 году рынок ИБ успокоился после взрывного роста прошлых лет. Его более плавная динамика сегодня отчасти связана с инфляцией и доразвитием проектов, запущенных ранее».

Коммерческий директор компании «Код Безопасности» Фёдор Дбар охарактеризовал текущие темпы как «умеренные». По его оценке, рынок вошёл в фазу стабилизации и возвращается к привычным темпам роста — порядка 10–15% в год.

В 2026 году, по мнению заместителя генерального директора ГК «Гарда» Рустэма Хайретдинова, также не стоит ожидать высоких темпов роста рынка. Исключением могут стать лишь отдельные нишевые сегменты.

RSS: Новости на портале Anti-Malware.ru