Новые находки Avast подтвердили рост популярности Golang у вирусописателей

Новые находки Avast подтвердили рост популярности Golang у вирусописателей

Новые находки Avast подтвердили рост популярности Golang у вирусописателей

Последние месяцы Avast фиксирует рост количества вредоносных и потенциально опасных программ, написанных на Go. Эксперты еженедельно находят новые семплы и решили рассказать о паре таких зловредов — бэкдоре Backdoorit и IRC-боте Caligula.

Новобранцы, как и большинство других Go-творений вирусописателей, способны работать на разных платформах. Оба были обнаружены на внутренних ханипотах Avast в конце апреля и на тот момент не детектировались антивирусами VirusTotal.

Инструмент удаленного доступа с говорящим именем Backdoorit (в коде встречается и другое написание — backd00rit) совместим и с Windows, и с Linux/Unix. Его основной целью является кража файлов, связанных с Minecraft, а также проектов Visual Studio и Intellij. Он ворует и другие данные по выбору оператора, умеет выполнять произвольные команды, загружать дополнительных зловредов и делать скриншоты.

Создатель Backdoorit, по мнению Avast, — скорее всего, носитель русского языка: комменты и строки кода написаны в основном на английском, но с грамматическими ошибками; встречаются строки на русском, к тому же зловред среди прочего нацелен на файлы VimeWorld — русскоязычного хаба Minecraft-серверов.

После запуска бэкдор собирает информацию о рабочей среде, такую как тип ОС и имя текущего пользователя. Затем вредонос пытается подключиться к C2-серверу, чтобы открыть хозяину доступ к командной оболочке.

В ходе работы Backdoorit регистрирует все операции, выполняемые в системе, и действия пользователя. Отчеты загружаются на веб-сервис Bashupload, позволяющий с легкостью перемещать файлы между серверами.

Зловред также снабжен подобием kill-switch; при запуске этот механизм не только стирает следы непрошеного вторжения, но может также вызвать крах Windows через эксплойт CVE-2021-24098 или испортить NTFS-диск с помощью CVE-2021-28312. Судя по присутствию checkupdates в списке поддерживаемых команд, можно ожидать появления новых версий Backdoorit.

Боты Caligula предназначены для проведения DDoS-атак и распространяются в виде ELF-файлов. Вредонос пока работает только под Linux и Windows с подсистемой WSL и определяет тип, используя функцию os_user_Current.

Поддерживаемые архитектуры процессоров:

  • Intel 80386 32-бит,
  • ARM 32-бит,
  • PowerPC 64-бит,
  • AMD 64-бит.

Новый IRC-зловред создан на основе Hellabot, хотя некоторые фрагменты кода взяты из других opensource-проектов. Все найденные образцы подключаются к одному и тому же IRC-каналу, используя вшитые данные (хост 45.95.55.24:6667, юзернейм составлен из платформы, имени текущего пользователя и псевдослучайной последовательности цифр).

Боты Caligula способны проводить DDoS-атаки типа flood — UDP, HTTP, SYN, TCP и бомбардировка пакетами квитирования (ACK-флуд).

Рост популярности Golang в криминальной среде неудивителен: в сравнении с C/C++ он упрощает разработку, ускоряет компиляцию и позволяет создавать мультиплатформенные программы. На Go написаны актуальные шифровальщики Hive, HermeticRansom, eCh0raix, Epsilon Red, боты Kraken и BotenaGo. Иногда создатели таких творений публикуют их на GithHub, открывая доступ для просмотра и изменения, и другие преступники охотно этим пользуются.

Сотрудники против: 52% компаний буксуют с переходом на тонкие клиенты

Переход на тонкие клиенты в российских компаниях чаще всего тормозит вовсе не техника, а люди. По данным опроса среди зрителей и участников эфира AM Live «Тонкий клиент: инструмент создания цифровых корпоративных рабочих мест», 52% компаний не могут полноценно перейти на такую модель из-за сопротивления сотрудников, привыкших к обычным компьютерам.

На этом фоне особенно показательно выглядит другая цифра: только 25% компаний уже используют удалённые рабочие места через десктопы или тонкие клиенты.

Иначе говоря, три четверти по-прежнему опираются либо на офисные компьютеры, либо на добросовестность сотрудников, которые работают с собственных устройств. А это, как отмечали участники дискуссии, оставляет бизнес в довольно уязвимом положении: данные и учётные записи оказываются размазаны по множеству конечных точек, и каждая из них потенциально может стать входом в корпоративную сеть.

Идея тонких клиентов как раз в обратном: рабочее место у сотрудника есть, но сами данные и основные процессы остаются внутри защищённой инфраструктуры компании. Директор департамента управления продуктовым портфелем Getmobit Василий Шубин по этому поводу высказался довольно жёстко: когда сотрудникам разрешают работать с личных устройств, компания фактически перекладывает риск на конечного пользователя.

Впрочем, дело не только в привычках. Второй по популярности барьер — поддержка периферии, на неё пожаловались 46% опрошенных. Дальше причины идут уже с заметным отрывом: 32% считают проблемой высокую стоимость внедрения, 28% говорят о несовместимости приложений, 26% — о нехватке экспертизы у ИТ-команд, ещё 22% упомянули ограничения сети и каналов связи.

Некоторых экспертов такой высокий результат у пункта с периферией удивил, но в «Лаборатории Касперского» ничего необычного в этом не увидели. Старший менеджер по продукту Kaspersky Thin Client Михаил Левинский объяснил, что вопрос здесь упирается не только в сами устройства, но и в зрелость поддержки: у кого-то может быть старый монитор или нестандартная периферия, и важно, насколько быстро вендор готов на такие запросы реагировать. При этом, по его словам, сами операционные системы, конечно, должны нормально поддерживать проброс периферийных устройств.

Похожую мысль озвучили и в Uveon — Облачные технологии. Там обратили внимание, что часть проблем, которые пользователи приписывают именно тонким клиентам, на деле относится шире — к тому, как в компании вообще выстроена инфраструктура рабочих мест. Иными словами, не всё здесь упирается в «железку»: многое решается на уровне софта и архитектуры.

При этом в обсуждении прозвучала и осторожно позитивная нота. Генеральный директор «АМ Медиа» Илья Шабанов заметил, что заметно сократилась доля тех, кто считает главным препятствием именно стоимость внедрения. Это может говорить о том, что рынок таких решений в России постепенно взрослеет, а сами технологии перестают восприниматься как что-то слишком дорогое и экзотическое.

RSS: Новости на портале Anti-Malware.ru