Трояна Amadey подрядили работать проводником шифровальщика LockBit 3.0

Трояна Amadey подрядили работать проводником шифровальщика LockBit 3.0

Трояна Amadey подрядили работать проводником шифровальщика LockBit 3.0

Злоумышленники осваивают новый способ доставки LockBit на Windows-машины — с помощью ботов Amadey. В AhnLab изучили вложения в поддельные письма, которые авторы текущих атак рассылают на адреса компаний, и выяснили, что целевой полезной нагрузкой является новейшая версия шифровальщика — 3.0.

Вредоносные имейл-сообщения имитируют отклик на вакансию либо уведомление о нарушении авторских прав. Вложение в такие фальшивки может быть оформлено как документ Microsoft Word либо исполняемый файл, для отвода глаз снабженный Word-иконкой. При открытии любого из них в систему жертвы устанавливается Amadey — зловред, умеющий воровать данные и по команде загружать дополнительный софт.

При использовании вложения Resume.exe (с маскировочной иконкой Word) цепочка заражения коротка, троянский загрузчик запускается сразу после открытия файла. Вариант доставки Amadey с помощью документа Word более замысловат.

Анализ вредоносного вложения Sia_Sim.docx, поданного на VirusTotal 28 октября, показал, что оно загружает из интернета шаблон в формате DOTM с VBA-макросом. В тело внешнего документа вставлено изображение с подсказкой — включить активный контент, якобы для обеспечения совместимости формата.

 

Если пользователь последует инструкции, отработает макрос, который создаст вредоносный LNK-файл с сохранением в папке C:\Users\Public\. Содержимым skem.lnk является загрузчик Amadey; его запуск инициирует команда > rundll32 url.dll,OpenURL C:\Users\Public\skeml.lnk.

Внедренный таким образом троян при исполнении копирует себя в папку временных файлов и создает запланированное задание на автозапуск. Затем вредонос подключается к C2-серверу и отсылает на него данные зараженного хоста. В ответ он может получить команду на загрузку LockBit 3.0 — в виде обфусцированного PowerShell-скрипта (cc.ps1 или dd.ps1) либо бинарного файла (LBB.exe).

Целевая полезная нагрузка тоже оседает в папке TEMP. Шифровальщик обрабатывает файлы жертвы и создает записку с требованием выкупа. Следуя схеме двойного шантажа, вымогатели угрожают неплательщикам публикацией украденных данных.

Третья версия LockBit, она же LockBit Black, вышла в июне этого года. Тогда же ее авторы пошли на беспрецедентный шаг — запустили программу bug bounty для выявления дыр в созданных ими веб-ресурсах и кодах. Мишенями вымогательских атак обычно становятся большие организации; недавно стало известно, что LockBit 3.0 проник в сеть базирующейся во Франции ИТ-компании Thales.

46% пользователей сталкивались с цифровым насилием, многие этого не поняли

«Лаборатория Касперского» выпустила отчёт о цифровом насилии и выяснила следующее: 46% респондентов в мире за последние 12 месяцев сталкивались хотя бы с одной его формой, но только 32% вообще понимают, что означает этот термин. Под цифровым насилием понимают агрессивное или контролирующее поведение с использованием современных технологий.

Это могут быть оскорбления, онлайн-домогательства, преследование, создание фейковых аккаунтов, выдача себя за другого человека, доксинг, цифровая слежка или попытки изолировать человека через онлайн-коммуникации.

По данным исследования, среди тех, кто сталкивался с цифровым насилием, в среднем на одного человека приходилось больше двух его форм. Самой распространённой стала блокировка или изоляция с целью причинить вред — с этим столкнулись 17% респондентов. Ещё 15% получали оскорбительные или грубые сообщения, почти 8,5% сталкивались с цифровым преследованием, а 5% — с доксингом.

 

Отдельная мрачная зона — цифровой контроль в личных отношениях. После расставаний технологии часто превращаются не в удобный способ связи, а в пульт давления: угрозы в соцсетях, публикация личных данных, создание дипфейков, онлайн-слежка.

В одном из примеров, который привели эксперты, телефон ребёнка использовали для скрытого отслеживания перемещений бывшей супруги.

Растёт и рынок киберсталкинга. По данным Kaspersky Digital Footprint Intelligence, в даркнете услуги для доксинга и цифровой слежки могут стоить от 50 до 4 тыс. долларов. Параллельно распространяется сталкерский софт — коммерческие программы, которые позволяют тайно следить за человеком через смартфон.

Такие приложения могут получать доступ к сообщениям, фотографиям, геолокации, соцсетям, а иногда к аудио- и видеозаписям в реальном времени. Обычно для установки нужен физический доступ к устройству, но дальше программа работает тихо в фоне. Жертва может жить обычной жизнью и даже не подозревать, что её телефон давно стал карманным шпионом.

В 2024-2025 годах решения «Лаборатории Касперского» обнаружили сталкерские программы на устройствах более 34 тыс. пользователей, а за последние пять лет — более чем у 127 тыс. человек в более чем 160 странах. Россия, Бразилия и Индия снова оказались среди стран, наиболее затронутых этой проблемой.

RSS: Новости на портале Anti-Malware.ru