Инфостилер XFiles штурмует Windows через эксплойт Follina

Инфостилер XFiles штурмует Windows через эксплойт Follina

Инфостилер XFiles штурмует Windows через эксплойт Follina

Исследователи из Cyberint обнаружили, что схема доставки зловреда XFiles изменилась. Цепочка заражения теперь включает эксплойт CVE-2022-30190 — к уязвимости в Microsoft Support Diagnostic Tool (MSDT), получившей известность как Follina.

Уязвимость нулевого дня CVE-2022-30190, позволяющая удаленно выполнить любую команду PowerShell с помощью вредоносного документа Microsoft Office, была выявлена в конце прошлого месяца. Патч вышел две недели назад в составе плановых обновлений для Windows.

Файлы, используемые для доставки XFiles через эксплойт, вероятнее всего попадают на машины вместе со спам-письмами. Анализ показал, что в подобный документ вставлен объект OLE, указывающий на HTML-файл на внешнем ресурсе. Последний содержит JavaScript, выполняющий эксплойт Follina. Затем следует вызов строки кода с PowerShell-командами, которые обеспечивают зловреду постоянное присутствие в системе и запуск на исполнение.

Следующий модуль, ChimLacUpdate.exe, содержит вшитый шелл-код и ключ AES для расшифровки полезной нагрузки. Исполнение в данном случае происходит в памяти того же запущенного процесса через вызов API.

По завершении заражения вредонос приступает к выполнению основных задач. Они типичны для инфостилера — кража куки, паролей и истории браузера, сбор данных о криптокошельках, снимки экрана, поиск учеток Telegram и Discord. Добытая информация сохраняется локально, а затем выводится через Telegram.

 

В Cyberint исправно отслеживают операции XFiles Reborn и заметили, что кибергруппа разрослась за счет активного рекрутинга; появились также новые проекты. Так, к ОПГ примкнул автор Whisper Project — инфостилера, быстро набиравшего популярность в криминальных кругах; в итоге этот проект пришлось свернуть. Из новых, запущенных в рамках XFiles Reborn, внимания заслуживает Punisher Miner, который позиционируется как очень скрытный добытчик криптовалюты. Его продают за 500 рублей — столько же стоит месячная аренда инфостилера XFiles.

Telegram уличили в бездействии вокруг китайского крипторынка на $21 млрд

Telegram снова критикуют за то, что платформа продолжает обслуживать Xinbi Guarantee — крупный китайскоязычный теневой рынок, через который, по данным исследователей, проходят услуги по отмыванию денег для криптомошенников, а также другие криминальные сервисы.

WIRED пишет, что за всё время существования площадка уже провела операций примерно на $21 млрд, а после санкций Великобритании в конце марта её активность не только не остановилась, но и продолжилась почти в прежнем темпе.

Всего за 19 дней после введения санкций через Xinbi прошло ещё около $505 млн, а общее число пользователей почти дотянуло до полумиллиона. Telegram за это время, судя по всему, не предпринял шагов для удаления всей этой инфраструктуры.

Сама площадка давно фигурирует в расследованиях как один из ключевых узлов криминальной экосистемы в Telegram. Ещё раньше Elliptic оценивала её оборот примерно в $8,4 млрд, а более свежие оценки TRM Labs поднимают общий объём уже до $24,2 млрд. Разброс в цифрах объясняется разной методикой подсчёта, но общий вывод у исследователей один: речь идёт о действительно гигантском рынке, связанном с мошенничеством и отмыванием денег.

Сам Telegram публично почти не комментирует ситуацию. По данным WIRED, на новые запросы издания компания не ответила. При этом в прошлом Telegram уже объяснял своё нежелание вводить «общие запреты» тем, что часть пользователей якобы ищет альтернативные способы международных переводов на фоне жёстких финансовых ограничений в Китае.

RSS: Новости на портале Anti-Malware.ru