Загрузчик DoubleFinger помогает скрыть кражу ключей от криптокошельков

Загрузчик DoubleFinger помогает скрыть кражу ключей от криптокошельков

Загрузчик DoubleFinger помогает скрыть кражу ключей от криптокошельков

В «Лаборатории Касперского» разобрали новую сложную угрозу — загрузчика DoubleFinger, полагающегося на шелл-коды и стеганографию. Исполняемый поэтапно Windows-зловред используется в основном для доставки инфостилера GreetingGhoul, заточенного под крипту.

По данным Kaspersky, многоступенчатый даунлоадер распространяется через целевой аттач-спам. При открытии PIF-вложения выполняется первый этап DoubleFinger — модифицированный файл espexe.exe (Microsoft Windows Economical Service Provider Application) с шелл-кодом.

В ходе его исполнения на машину с Imgur.com загружается PNG с зашифрованным содержимым. Пейлоад состоит из нескольких файлов:

  1. PNG с картинкой, в которой спрятан (стеганография) пейлоад четвертого этапа;
  2. зашифрованный блок данных;
  3. легитимный java.exe, используемый для загрузки шелл-кода второго этапа по методу DLL sideloading;
  4. шелл-код второго этапа (msvcr100.dll).

Файл msvcr100.dll тоже модифицирован и по структуре и функциональности схож с загрузчиком первого этапа. Этот шелл-код загружает, расшифровывает и выполняет пейлоад третьего этапа.

Следующий компонент DoubleFinger, по словам экспертов, значительно отличается от первых двух. Так, он использует вызовы низкоуровневых служб Windows через штатный API, а также загружает в память процесса файл ntdll.dll, чтобы обойти хуки средств защиты.

Основной задачей вредоноса является расшифровка и запуск полезной нагрузки четвертого этапа. Анализ показал, что для ее сокрытия используется довольно простой метод стеганографии. Сам шелл-код тоже незамысловат и содержит пейлоад пятого этапа, исполняемый с использованием техники Process Doppelgänging.

 

Компонент пятого этапа создает в системе запланированное задание на ежедневный запуск GreetingGhoul в определенное время. Инфостилер загружается тоже в виде PNG-файла с зашифрованным содержимым.

Целевой зловред состоит из двух основных компонентов. Один создает с помощью Microsoft WebView2 оверлеи — поддельные окна с формой восстановления доступа к криптокошельку; другой ищет такие приложения и крадет конфиденциальные данные (к примеру, сид-фразы).

 

Найдены также несколько образцов DoubleFinger, загружающих инструмент удаленного администрирования Remcos, популярный у киберпреступников. В коде RAT, раздаваемого с помощью нового загрузчика, обнаружены текстовые фрагменты на искаженном транслите.

Так, URL-адрес командного сервера начинается со слова «Privetsvoyu»; в другом месте встретилась строка salamvsembratyamyazadehayustutlokeretodlyagadovveubilinashusferu. Не исключено, что это умышленно привнесенный ложный след. Жертвы данной Remcos-кампании выявлены в США, Европе и Латинской Америке.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

СУБД Postgres Pro сертифицирована ФСТЭК по стандарту ГОСТ Р 56939-2024

Российская компания Postgres Professional, разработчик отечественной СУБД Postgres Pro, получила сертификат ФСТЭК России на соответствие новому стандарту ГОСТ Р 56939-2024 «Разработка безопасного программного обеспечения. Общие требования». Документ был выдан 21 октября 2025 года.

Postgres Professional стала второй компанией в России, успешно прошедшей сертификацию РБПО по новому ГОСТу.

Как отметил генеральный директор компании Иван Панченко, безопасность изначально встроена в процессы разработки:

«Мы давно строим продукт так, чтобы защита была заложена с первых строк кода. Теперь это официально подтверждено сертификатом ФСТЭК России. Для нас и наших корпоративных клиентов это важный шаг».

Сертификация охватывает весь цикл безопасной разработки — от проектирования и анализа требований до тестирования, сборки и эксплуатации. Проверку проводил Институт системного программирования имени В. П. Иванникова РАН.

Наличие сертификата не только подтверждает высокий уровень зрелости процессов компании, но и упрощает внедрение Postgres Pro в инфраструктуру госорганов, объектов КИИ и бюджетных учреждений, где теперь могут требовать сертифицированные процессы разработки.

Панченко добавил, что сертификация — это «инвестиция в будущее»:

«Она позволит ускорить выпуск обновлений сертифицированных версий и сделать процессы более прозрачными для заказчиков».

Подготовка заняла больше года. В компании планируют продолжить развитие культуры безопасной разработки и обмен опытом с российским ИТ-сообществом.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru