Вымогатели BlackCat усовершенствовали вывод данных и крадут пароли из Veeam

Вымогатели BlackCat усовершенствовали вывод данных и крадут пароли из Veeam

Вымогатели BlackCat усовершенствовали вывод данных и крадут пароли из Veeam

При разборе августовских атак шифровальщика BlackCat/ALPHV эксперты Symantec (те, что ушли под крыло Broadcom) обнаружили новый, более скрытный вариант инструмента эксфильтрации данных Exmatter. Наблюдатели также отметили случай использования дополнительного зловреда — инфостилера Eamfo, умеющего воровать учетные данные, сохраненные с помощью Veeam.

Кросс-платформенного вредоноса BlackCat, которого в Symantec называют Noberus, многие считают преемником BlackMatter и Darkside. Операторы шифровальщика постоянно обновляют свои техники и тактики, стараясь повысить эффективность атак.

Использование Exmatter позволяет вымогателям незаметно выкачивать из корпоративной сети данные — до запуска шифрования. Украденная информация тоже становится средством шантажа: ее грозят опубликовать в случае неуплаты выкупа за ключ расшифровки.

Создатели новой версии Exmatter сократили список расширений для поиска файлов до 19 позиций (.pdf, .doc, .docx, .xls, .xlsx, .png, .jpg, .jpeg, .txt, .bmp, .rdp, .txt, .sql, .msg, .pst, .zip, .rtf, .ipt, .dwg). Из других нововведений аналитики отметили следующие:

  • вывод данных через FTP, в дополнение к SFTP и WebDav;
  • создание отчета со списком всех обработанных файлов;
  • порча файлов при обработке (функциональность пока отключена);
  • самоудаление при отсутствии корпоративного окружения (за пределами домена Active Directory);
  • снятие с поддержки Socks5;
  • развертывание с помощью групповых политик Windows.

Анализ также показал, что вредоносный код в значительной мере переписан — даже сохранившиеся функции реализованы заново и по-иному. По всей видимости, вирусописатели надеялись таким образом повысить вероятность обхода средств обнаружения.

В конце августа была зафиксирована атака BlackCat с использованием Eamfo (эксперты сочли ее делом рук одного из аффилиатов RaaS-сервиса). Этот инфостилер имеет узкую специализацию: крадет учетные данные только из бэкапов Veeam.

С этой целью он подключается к базе данных SQL, которую использует софт для резервного копирования, и посылает особый запрос. Полученные данные предоставляются оператору уже в расшифрованном виде, чтобы тот мог использовать их для своих нужд — повышения привилегий, дальнейшего продвижения по сети.

По данным экспертов, Eamfo появился на интернет-арене не позднее августа прошлого года и был также замечен в атаках других шифровальщиков — Yanluowang, LockBit.

Авторы той же BlackCat-атаки с инфостилером применили еще один инструмент — сканер GMER, нацеленный на поиск руткитов. Злоумышленникам он помог принудительно завершить неугодные процессы в скомпрометированных системах.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники используют благотворительные фонды для обмана инвесторов

Компания F6 сообщила о новой схеме инвестиционного мошенничества. Теперь злоумышленники используют имена благотворительных фондов, чтобы втереться в доверие к жертвам. Людей уговаривают сделать «первый взнос» не на счёт мошенников, а на реквизиты реальных фондов.

Так, только в «Русфонд» с февраля по август 2025 года поступили переводы как минимум от 356 человек на сумму свыше 4,6 млн рублей. Деньги потом пришлось возвращать пострадавшим.

Как это работает. Сначала жертву привлекают рекламой «выгодных инвестиций» или фейковых социальных программ вроде «ГосБонуса». После заполнения анкеты на поддельном сайте звонят «сотрудники кол-центра», представляясь работниками банковских проектов. Они уверяют, что выплаты проходят через благотворительные фонды, и просят перевести туда деньги «для активации счёта».

На этом этапе используются настоящие реквизиты фондов, что укрепляет доверие к схеме. Затем мошенники показывают жертве поддельный «инвестиционный график», где сумма якобы растёт. После этого сценарий становится классическим: предложения «вывести прибыль», требования оплатить комиссии и сборы, а затем — попытка получить полный доступ к банковским данным жертвы через фишинговые сайты.

Специалисты подчёркивают: схема опасна не только для людей, но и для самих фондов. Репутация благотворительных организаций может пострадать, а их сотрудники вынуждены тратить время на возврат чужих переводов. В результате страдают и те, ради кого эти организации работают.

Подобные приёмы мошенники уже начали применять и в отношении других фондов. В Санкт-Петербурге, например, фонд сообщил о звонках с предложением «инвестировать» через его реквизиты.

Эксперты отмечают, что сегодня преступники всё чаще делают ставку не на быстрый заработок, а на долгую «обработку» жертвы. Их цель — получить полный доступ к счетам и украсть суммы в сотни тысяч или миллионы рублей.

Кроме того, злоумышленники проверяют банковские карты жертв с помощью мелких переводов на фонды — например, по 20 рублей. Такие тестовые операции позволяют понять, действует ли карта и есть ли на ней деньги.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru