Популярный словарь синонимов стал невольным пособником криптоджекеров

Популярный словарь синонимов стал невольным пособником криптоджекеров

Популярный словарь синонимов стал невольным пособником криптоджекеров

Минувшей весной специалисты Центра кибербезопасности F.A.C.C.T. выявили в рунете очередную криптоджекинг-кампанию. В качестве ловушки использовался сайт-словарь синонимов русского языка, ежемесячно собирающий более 5 млн визитов.

Поводом для расследования послужили вредоносные архивы, обнаруженные решением F.A.C.C.T. MXDR на рабочих станциях Windows нескольких компаний-клиентов. Имена файлов выглядели подозрительно: chromium-patch-nightly.00.<три случайных цифры>.<три случайных цифры>.zip.

Анализ показал, что во всех случаях сторонний объект скачивался в папку загрузок (Downloads). Источник помогли выявить артефакты браузера, им оказался популярный русскоязычный сайт-словарь: злоумышленники внедрили скрипт, запускающий процесс установки майнера на компьютерах посетителей.

Перейдя на ресурс, чтобы подобрать синоним, визитер видел страницу ошибки Google Chrome. Параллельно в неотображаемый iframe загружался вредоносный архив с сайта chrome-error[.]co. Примечательно, что ссылка на файл, отправляемая на хост посетителя, создается на лету и через четыре секунды уничтожается.

 

В коде страницы <сайт словаря>/s/<слово> эксперты обнаружили функциональный блок, отвечающий за подгрузку скрипта с IPFS-узла, доступного через Pinata Cloud, а также его исполнение. Этот сценарий скачивает другой скрипт, который проверяет тип ОС и браузера, и, если это Windows и Chrome, подгружает blob-объект (через тот же шлюз Pinata) для отображения обманной страницы-ошибки.

Вредоносный архив содержит дроппер криптомайнера — payload.exe, который после скачивания переименовывается в chromium-patch-nightly.*.exe. Следы его запуска на зараженных хостах (в журналах событий) отсутствовали — по всей видимости, из-за того, что EDR-агент в составе F.A.C.C.T. MXDR автоматом заблокировал исполнение и переместил вредоносный файл в карантин.

Во избежание развития инцидента исследователи провели оповещение клиентов, предоставив общий контекст и рекомендации. Вредоносный скрипт уже убран с сайта-словаря, и популярный ресурс больше не опасен.

Hide My Email не помог: Apple передала ФБР данные автора анонимного письма

Сервис Hide My Email в экосистеме Apple снова напомнил, что он создан для защиты от спама и лишнего трекинга, а не для анонимности перед правоохранителями. По информации профильных изданий, Apple передала ФБР данные пользователя, который отправил письмо с угрозами Алексис Уилкинс — девушке нынешнего директора ФБР Каша Пателя.

Как пишет 404 Media, речь идёт о 26-летнем Олдене Рамле. Из судебных документов следует, что он использовал псевдоадрес из iCloud+ Hide My Email, чтобы отправить анонимное письмо.

После обращения в полицию следователи запросили у Apple сведения, связанные с этим алиасом, и корпорация раскрыла имя пользователя и его реальный iCloud-адрес.

Позже, как сообщается, Рамле признал, что именно он отправил сообщение, после чего ему предъявили обвинение. История получилась показательной ещё и потому, что у пользователя, по данным материалов дела, было создано 134 адреса Hide My Email, но это всё равно не помешало следствию выйти на него через запрос к Apple.

Сейчас ФБР добивается доступа к данным на его устройствах и, как пишут СМИ со ссылкой на аффидевит, хочет получить разрешение на использование биометрической разблокировки и отключение защитных механизмов вроде Stolen Device Protection.

С юридической точки зрения здесь ничего сенсационного нет: Apple давно прямо указывает, что может передавать данные пользователей по законным запросам правоохранительных органов, а также регулярно публикует отчёты о таких обращениях.

RSS: Новости на портале Anti-Malware.ru