Банковского трояна IcedID перепрофилировали для доставки других зловредов

Банковского трояна IcedID перепрофилировали для доставки других зловредов

Банковского трояна IcedID перепрофилировали для доставки других зловредов

Специалисты Proofpoint фиксируют атаки IcedID с использованием новых вариантов загрузчика — Lite и Forked. Сам троян тоже претерпел изменения, потеряв функциональность, необходимую для банковского фрода.

По данным ИБ-компании, модифицированный IcedID распространяют три криминальные группы, не считая брокеров доступа к взломанным сетям. В Proofpoint полагают, что изменения вызваны сменой способа заработка: банковские мошенники решили заняться доставкой полезной нагрузки — к примеру, шифровальщиков.

Остальные поклонники банкера продолжают пользоваться стандартной версией, почти не изменившейся с 2017 года. В этом виде зловред, согласно описанию экспертов, прибывает на машину как начальный загрузчик, который запрашивает с сервера DLL-лоадер, и тот уже доставляет бот IcedID.

Вариант Lite впервые всплыл в ходе ноябрьских атак Emotet; он загружался в систему как пейлоад второй ступени. Загрузчик Forked появился позже, в феврале; по поведению он схож со стандартной версией, но использует другой тип файла (не DLL, а COM Server) и содержит дополнительный код для расшифровки строк и доменных имен, поэтому пейлоад увеличился на 12 Кбайт.

Загрузчик Lite по сравнению с ним легче, всего 20 Кбайт, так как он не выводит информацию о зараженном хосте на C2-сервер. Профилирование за него выполняет Emotet.

Оба варианта доставляют один и тот же IcedID-бот с сильно урезанной функциональностью — версию Forked без веб-инжектов, AiTM и возможности бэкконнекта. За счет этого размер файла сократился на 64 Кбайт.

 

В феврале злоумышленники распространяли Forked-вариант через персонализированные спам-письма с вложением OneNote, якобы содержащим инвойс. При открытии исполнялся файл HTA, запускающий PowerShell-команду на загрузку IcedID с удаленного сервера. Одновременно жертве отображался маскировочный документ PDF.

 

В конце февраля были зафиксированы спам-рассылки, использующие форму уведомления о нарушении американского закона о безопасности дорожного движения и автотранспорта, а также поддельные письма от имени Управления США по надзору за качеством продовольствия и медикаментов (FDA). В обоих случаях целью являлся засев Forked-версии IcedID.

Только 10% россиян готовы отказаться от VPN из-за блокировок

Несмотря на усиление ограничений и регулярные проблемы с доступностью VPN-сервисов, большинство пользователей не собираются от них отказываться. К такому выводу пришли аналитики MAR CONSULT. Согласно исследованию, VPN используют более половины опрошенных россиян: 27% делают это регулярно, ещё 25% — время от времени.

Если добавить тех, чьи родственники и знакомые пользуются такими сервисами, VPN так или иначе присутствует в жизни 63% респондентов.

Главная причина использования предсказуема — доступ к заблокированным сайтам и сервисам. Об этом сообщили 61% пользователей. Также VPN применяют для доступа к зарубежным сервисам и ценам, обхода географических ограничений и просмотра контента, недоступного в России.

При этом ограничения всё же создают проблемы. Около 30% опрошенных заявили, что пользоваться VPN стало значительно сложнее. Ещё 21% столкнулись с трудностями, но нашли способы их обойти.

Чаще всего пользователи жалуются на нестабильную работу сервисов и постоянные обрывы соединения. На втором месте — необходимость искать новые VPN после блокировки старых. Замыкает тройку снижение скорости работы.

Однако самое интересное касается будущего. Более половины участников опроса уверены, что полностью победить VPN не получится. По мнению 54% респондентов, пользователи продолжат искать обходные пути независимо от новых ограничений.

Собственные планы россиян подтверждают этот вывод. 31% собираются пользоваться текущим VPN до тех пор, пока он работает. Ещё 15% готовы перейти на другой сервис, а 14% — использовать бесплатные решения, если возникнут проблемы с оплатой.

Полностью отказаться от VPN готовы лишь 10% опрошенных. Для сравнения, на отечественные альтернативы планируют перейти только 8%.

В целом отношение к блокировкам остаётся скорее негативным. 43% респондентов не одобряют ограничения VPN, тогда как поддерживают их лишь 14%.

По мнению генерального директора MAR CONSULT Дмитрия Шиманова, блокировки создают больше проблем для легального использования современных технологий, бизнеса и образования, чем для доступа к нежелательным ресурсам. А пользователи, как показывает исследование, всё равно продолжают искать новые способы обхода ограничений.

RSS: Новости на портале Anti-Malware.ru