Пейлоад в крякнутом софте собрал в ботнет 400 тыс. Windows-компьютеров

Пейлоад в крякнутом софте собрал в ботнет 400 тыс. Windows-компьютеров

Пейлоад в крякнутом софте собрал в ботнет 400 тыс. Windows-компьютеров

Масштабная киберпреступная кампания затронула по меньшей мере 400 тысяч пользователей Windows. Злоумышленники доставляют на устройства жертв приложения для прокси-серверов, в результате чего компьютеры ничего не подозревающих юзеров выступают в качестве выходных узлов (exit node).

Такие ботнеты удобны для преступников тем, что с их помощью можно запускать атаки с подстановкой скомпрометированных учётных данных (credential stuffing) со свежих IP-адресов.

Помимо этого, взломанные компьютеры могут действовать и в безобидных целях: верифицировать рекламу, собирать сведения, тестировать веб-сайты и безопасно перенаправлять трафик.

По словам исследователей из AT&T Alien Labs, злоумышленникам удалось собрать около 400 тыс. выходных узлов из устройств пользователей. Кстати, стоящая за ботнетом организация утверждает, что владельцы этих устройств дали своё согласие, однако в AT&T Alien Labs выяснили, что вредоносная нагрузка устанавливать в системы незаметно.

«У нас есть доказательства скрытной установки прокси на компьютеры пользователей, хотя владельцы утверждают обратное. Более того, приложение подписано, антивирусы его не детектируют», — пишут эксперты.

Интересно, что эта же компания, которая управляет описанным ботнетом, ранее контролировала выходные узлы, созданные пейлоадом AdLoad, атакующим системы macOS.

Цепочка заражения начинается с запуска лоадера, который спрятан в крякнутом софте или играх. Именно этот загрузчик скачивает и устанавливает приложение-прокси; это происходит в фоновом режиме без какого-либо взаимодействия с пользователем.

Параллельно на командный сервер отправляются специальные параметры, позволяющие зарегистрировать очередного «клиента» и добавить его устройство в ботнет.

Если вы столкнулись с этой киберугрозой, исследователи рекомендуют поискать исполняемый файл «Digital Pulse» в директории «%AppData%\». Можно также найти похожий ключ в реестре Windows.

Ростелеком опроверг использование белых списков для домашнего интернета

Информация об ограничении доступа в интернет для пользователей фиксированного доступа в «Ростелекоме» назвали не соответствующей действительности. В компании подчеркнули, что подобные меры могут быть оправданы только в отношении мобильного интернета.

С таким заявлением оператор выступил в комментарии для «Радио РБК». Как отметили в пресс-службе «Ростелекома», такие ограничения вводятся лишь при угрозе атак дронов.

Это объясняется тем, что мобильный интернет может использоваться для наведения боевых беспилотников на потенциальные цели. Введение аналогичных ограничений для фиксированного доступа в сеть в компании назвали лишённым смысла.

Телеграм-канал «Код Дурова», который ранее распространил информацию о том, что в Ростове некоторые пользователи фиксированного интернета столкнулись с доступом только к ресурсам из «белого списка», позже также признал, что у абонентов крупных провайдеров такой проблемы нет. По данным авторов канала, о сбоях уже несколько дней сообщают пользователи соцсетей, однако в основном речь идёт о клиентах небольших операторов.

«Источник «Кода Дурова» на телеком-рынке подтверждает, что провайдеры могут быть не причастны к ситуации, когда у пользователей открываются только российские сайты, так как ограничения могут вводиться на ТСПУ, контролируемых Роскомнадзором», — именно такую версию канал считает наиболее вероятной причиной ограничений доступа.

Как уточнили в самом операторе, о котором шла речь в новости об ограничениях, в тот момент он находился под DDoS-атакой. При этом передача данных продолжалась по каналам, которые эта атака не затронула.

RSS: Новости на портале Anti-Malware.ru