Новый троян-стилер OpcJacker распространяется под видом VPN-клиента

Новый троян-стилер OpcJacker распространяется под видом VPN-клиента

Новый троян-стилер OpcJacker распространяется под видом VPN-клиента

Эксперты Trend Micro опубликовали результаты анализа нового инфостилера, которому было присвоено кодовое имя OpcJacker. Троян используется в атаках со второй половины прошлого года и примечателен нестандартным форматом конфигурационного файла, определяющего его поведение.

Набор функций зловреда включает кейлогинг, скриншоты, кражу конфиденциальных данных из браузеров, загрузку дополнительных модулей и подмену адресов криптокошельков в буфере обмена. Для распространения используются поддельные сайты, рекламирующие связанные с криптой приложения и другой легитимный софт.

Последняя malvertising-кампания, нацеленная на засев OpcJacker, была зафиксирована в феврале этого года. Мошенническая реклама была ориентирована на жителей Ирана и предлагала скачать архивный файл для доступа к VPN-сервису. В тех случаях, когда визитер подключался через VPN, редирект на загрузку инсталлятора откатывался.

Вредоносный код оказался защищенным с помощью хорошо известного криптора Babadeda. Сам инфостилер, по данным Trend Micro, в основном используется для доставки дополнительной полезной нагрузки — инструмента администрирования NetSupport RAT, варианта зловреда удаленного доступа hVNC, шифровальщика Phobos, сильно докучавшего россиянам в прошлом году.

 

Содержимое конфигурационного файла OpcJacker похоже на байткод, написанный на кастомном машинном языке. В нем присутствуют шестнадцатеричные идентификаторы; каждая команда парсится для получения кода операций, а затем запускается соответствующий обработчик. По всей видимости, вирусописатели надеялись таким образом затруднить анализ потока выполнения вредоносной программы.

Недавно на черном рынке появился еще один интересный инфостилер — Cinoshi, функциональность которого можно расширить за счет добавления клиппера, бота или майнера криптовалюты. Из специализированных программ-клипперов внимания заслуживает новичок, замаскированный под Tor-браузер.

Фанатов Канье Уэста начали заманивать на подозрительные сайты с билетами

Вокруг концертов Канье Уэста в Санкт-Петербурге уже закружились не только поклонники, но и любители заработать на чужом ажиотаже. Специалисты «Лаборатории Касперского» обнаружили несколько подозрительных сайтов, предлагающих билеты с оплатой в рублях или криптовалюте.

На одной из площадок внезапное появление мест объясняли возвратом билетов. Однако за такими ресурсами могут стоять как перекупщики, так и мошенники.

В лучшем случае покупатель переплатит, в худшем — останется без денег, билета и возможности нормально оспорить перевод.

Особенно опасна оплата криптовалютой: вернуть её через банк не получится. В Т-Банке советуют рассчитываться картой, поскольку при неисполнении обязательств продавцом операцию можно попытаться оспорить. При этом новых массовых схем, связанных именно с концертами Уэста, банк пока не зафиксировал.

Эксперты рекомендуют покупать билеты только на официальных площадках, внимательно проверять адрес сайта и не бросаться на сказочные скидки. В «Лаборатории Касперского» также советуют заранее проверять подозрительные ссылки, а не после того, как деньги уже отправились в гастрольный тур без владельца.

Концерты запланированы на 10 и 11 октября на «Газпром Арене». Цены официальных билетов составляют от 9 тыс. до 160 тыс. рублей за места в VIP-ложе. Организатор Say Agency заявил, что купленные на официальном сайте билеты действительны, а замены исполнителя не будет.

Ажиотаж уже впечатляет: за сутки продажи железнодорожных билетов в Петербург на даты концертов выросли в 41 раз, авиабилетов — в 16 раз. Такой спрос для мошенников звучит почти как приглашение.

RSS: Новости на портале Anti-Malware.ru