DarkCloud: новый зловред с большими возможностями по краже и выводу данных

DarkCloud: новый зловред с большими возможностями по краже и выводу данных

DarkCloud: новый зловред с большими возможностями по краже и выводу данных

Исследователи из Cyble зафиксировали рост активности инфостилера DarkCloud, объявившегося в прошлом году. Распространяемый через спам-рассылки вредонос всеяден: его интересуют учетные данные, ПДн, финансовая информация; он также умеет выводить краденое, используя электронную почту, Telegram, FTP, веб-панель.

В прошлом месяце в даркнете начали продавать доступ к билдеру DarkCloud с тем, чтобы злоумышленники смогли приспособить полезную нагрузку для своих целей. Билдер также позволяет придать зловреду функции граббера и клипера.

Спам-письма, нацеленные на засев DarkCloud, могут содержать вредоносную ссылку или вложение. Обычно они имитируют переписку с поставщиком или ретейлером; вредоносный архивный файл в таких случаях замаскирован под заказ-накладную.

 

Проведенный в Cyble анализ показал, что заражение DarkCloud осуществляется в несколько этапов. Доставляемый в спаме файл (NET-бинарник) работает как дроппер. Он копирует себя в папку Users\\AppData\\Roaming и создает запланированное задание, чтобы удержаться в системе.

После запуска дроппер загружает другой бинарник; пейлоад загружается в память запущенного процесса как VB-файл. При исполнении этот 32-битный код извлекает из ресурсов ConsoleApp1.exe, спрятанный в PK-архиве, и загружает его в папку AppData\Roaming\Microsoft\Windows\Templates\, а затем запускает на исполнение.

Файл ConsoleApp1.exe представляет собой скомпилированный 32-битный бинарник, в ресурсах которого содержатся исходники для полезной нагрузки DarkCloud Stealer. Основной задачей ConsoleApp1.exe является загрузка и компиляция этой заготовки средствами .NET Framework.

Итоговый пейлоад credentials.exe помещается в ту же папку и запускается как новый процесс. Этот 32-битный бинарник работает 60 секунд, после чего удаляется.

 

При исполнении credentials.exe начинает собирать конфиденциальную информацию из различных приложений:

  • учетные данные из браузеров на движке Gecko, в том числе из Firefox (для расшифровки использует алгоритм 3DES);
  • данные, ассоциированные с аккаунтами и кредитными картами, из браузеров на основе Chromium;
  • учетки из почтовых клиентов (Outlook, Thunderbird, Eudora, Foxmail);
  • учетки из FTP-клиентов FileZilla, CoreFTP, FlashFXP, WinSCP (в последнем случае расшифровывает данные средствами Windows).

Судя по рекламным объявлениям на хакерских форумах, DarkCloud умеет собирать системную информацию, делать снимки экрана, мониторить буфер обмена, извлекать куки, сообщения и контакты (из 163 MailMaster). Его интересуют аккаунты NordVPN и Pidgin, а также хранилища паролей Internet Explorer, Microsoft Edge и RDP-клиента.

Граббер помогает зловреду воровать файлы определенных форматов (TXT, XLS, XLSX, PDF, RTF) и конфиденциальные данные из программ-криптокошельков, а клипер — подменять адреса кошельков в буфере обмена (поддерживаемые цифровые валюты: BTC, BCH, ETH, XRP). Краденая информация сохраняется в файле credentials.txt, а затем отсылается на C2-сервер.

Группа депутатов подготовила законопроект о защите от сталкинга

Авторами законопроекта о защите от сталкинга и навязчивых преследований выступили депутаты Ксения Горячева и Сардана Авксентьева. Документ представляет собой пакет поправок в Кодекс об административных правонарушениях, предусматривающий штрафы и административный арест за такие действия. Кроме того, в правовое поле вводится понятие охранного ордера.

Текст законопроекта оказался в распоряжении РБК. Документ уже внесён в Госдуму и направлен на отзыв в правительство.

Как пояснила РБК Ксения Горячева, в России сталкинг фактически разрешён «по умолчанию». По её словам, сотрудники МВД нередко руководствуются принципом «нет статьи — нет наказания», даже в случаях, когда преследование продолжается годами.

Законопроект впервые закрепляет в законодательстве само понятие сталкинга, или навязчивого преследования. Под ним понимаются «определённые действия, причиняющие психические страдания и вызывающие опасения за собственную безопасность, если они продолжаются после прямой просьбы прекратить преследование».

К формам такого поведения авторы относят систематическую слежку, навязчивые попытки установить контакт, а также покупку товаров или заказ услуг с использованием чужих персональных данных.

Действия между супругами выведены из состава возможных правонарушений. Таким образом авторы попытались исключить потенциальные злоупотребления, которые могут возникать в ходе семейных конфликтов.

Отдельно в законопроекте вводится понятие охранного ордера — судебного запрета на приближение преследователя к жертве. Такой ордер может устанавливаться на срок до шести месяцев с возможностью продления. На этот период сталкер подлежит постановке на учёт в органах МВД.

В качестве наказания предлагается установить штраф до 10 тыс. рублей либо административный арест на срок до 10 суток. Если жертвами преследования становятся дети, санкции могут составить до 50 часов обязательных работ или арест до 15 суток. За нарушение условий охранного ордера предусмотрен штраф до 20 тыс. рублей либо арест до 10 суток.

Ранее фракция «Новые люди» уже вносила законопроект о наказании за сталкинг, однако он был раскритикован правительством из-за размытых формулировок, «не отвечающих требованиям определённости, ясности и недвусмысленности».

«Это вторая версия, выверенная совместно с экспертами, юристами и коллегами по Думе. Мы сознательно убрали всё спорное и оставили только то, что действительно даёт защиту и не позволяет злоупотреблять нормой», — отметила Ксения Горячева в комментарии для РБК.

По оценкам экспертов, до 80% случаев сталкинга сегодня происходит в онлайне. Мы ранее разбирали основные формы киберсталкинга и способы защиты от него.

RSS: Новости на портале Anti-Malware.ru