Троян-инфостилер WhiteSnake способен атаковать и Windows, и Linux

Троян-инфостилер WhiteSnake способен атаковать и Windows, и Linux

Троян-инфостилер WhiteSnake способен атаковать и Windows, и Linux

В ИБ-компании Cyble проанализировали образец нового инфостилера для Windows, распространяемого через спам-рассылки. Судя по рекламным объявлениям в даркнете, WhiteSnake существует также в Linux-версии, но ее функциональность пока ограничена.

Новый зловред предоставляется в пользование как услуга (Malware-as-a-Service, MaaS). Первую рекламу сервиса на его основе исследователи обнаружили на хакерских форумах в начале текущего месяца. Наблюдения показали, что вредоносный код обновляется почти каждый день и, видимо, находится в стадии активной разработки.

 

Судя по анонсу, версия WhiteSnake для Linux по функциям идентична Windows-варианту, но некоторые возможности пока не реализованы, и размер предлагаемого файла заметно меньше — всего 5 Кбайт.

 

Выявленная атака начинается со спам-письма. Прикрепленный экзешник замаскирован под документ PDF; при его активации в папку временных файлов сбрасывается tmp46D2.tmp.bat и запускается на исполнение.

Этот BAT-файл выполняет PowerShell-скрипт, загружающий из CDN-сети Discord другой BAT-файл (build.bat) — дроппер WhiteSnake. После извлечения и расшифровки вредонос сохраняется в папке %temp% как build.exe.

По свидетельству Cyble, полезная нагрузка build.exe представляет собой 32-битный NET-бинарник с возможностью установки через GUI. Уровень детектирования WhiteSnake на VirusTotal в настоящее время составляет 44 / 69 (результат от 27 февраля).

При исполнении build.exe вначале создает мьютекс, чтобы исключить дублирование запуска, а затем проверяет окружение на наличие виртуальных машин.

Анализ кода подтвердил наличие функций кражи куки-файлов и учетных данных из различных браузеров:

Вредонос также умеет воровать важные файлы из следующих программ-криптокошельков:

  • Atomic,
  • Guarda,
  • Coinomi,
  • Bitcoin,
  • Electrum,
  • Exodus.

Его также интересуют криптоплагины для браузеров, мессенджеры (Discord, Pidgin, Steam, Telegram), почтовые и FTP-клиенты, а также иной софт — например, Snowflake. Украденные данные вместе с информацией о системе (включает скриншоты) троян в зашифрованном виде (RC4) отсылает телеграм-боту.

Google упростила удаление личных данных и интимных фото из поиска

В интернете всегда найдётся кто-то, кто хочет узнать о вас больше, чем следовало бы. К счастью, у Google есть инструменты, которые помогают убрать лишнее из поисковой выдачи. Компания обновила сервис Results About You, который ищет и помогает удалить из выдачи страницы с вашими персональными данными.

Теперь инструмент умеет находить не только адреса и телефоны, но и номера документов, включая паспорт, водительские права и даже номер социального страхования (для США).

Чтобы система знала, что искать, пользователю нужно заранее добавить часть этих данных в настройках. Для водительских прав требуется полный номер, а для паспорта или SSN — только последние четыре цифры. После этого Google будет периодически сканировать выдачу и присылать уведомления, если найдёт совпадения.

Важно понимать: контент не исчезает из Сети полностью, но перестаёт отображаться в поиске Google, что для большинства пользователей уже существенно снижает риски.

Обновление коснулось и инструмента для удаления интимных изображений, опубликованных без согласия человека. Речь идёт как о реальных фото, так и о дипфейках и других сгенерированных ИИ материалах.

Теперь пожаловаться на такие изображения стало проще: достаточно нажать на три точки рядом с картинкой в поиске, выбрать «Удалить результат» и указать, что это интимное изображение. Google уточнит, настоящее это фото или дипфейк, а затем запустит проверку.

Кроме того, теперь можно добавлять сразу несколько изображений в одну заявку, что особенно актуально в эпоху, когда генеративный ИИ позволяют создавать подобный контент буквально за минуты.

Google также добавила возможность мониторинга: если функция включена, система будет автоматически отслеживать появление новых подобных изображений и предупреждать пользователя.

Поиск по ID уже доступен в Results About You. Обновлённый инструмент для удаления интимного контента начнёт появляться в ближайшие дни и будет постепенно распространяться на разные страны.

RSS: Новости на портале Anti-Malware.ru