Тулкит WoofLocker прячет вредоносный код в PNG, доставляет локер браузера

Тулкит WoofLocker прячет вредоносный код в PNG, доставляет локер браузера

Тулкит WoofLocker прячет вредоносный код в PNG, доставляет локер браузера

Внимание специалистов по кибербезопасности привлекла обновлённая версия тулкита WoofLocker, которую злоумышленники используют в атаках с фейковой техподдержкой для снятия цифрового отпечатка устройства жертвы, а также доставки блокировщика браузера.

Впервые об этой тулзе заговорили в январе 2020 года, когда Malwarebytes описала метод редиректа трафика с помощью встроенного в страницы взломанных сайтов JavaScript-кода.

Интересно, что киберпреступники использовали стеганографию для помещения кода JavaScript в PNG-изображение. Сначала потенциальную жертву проверяли, пытаясь выяснить, не бот ли это, а уже потом подсовывали вредоносную картинку.

Если же на страницу заходил бот, использовался PNG без дополнительной вредоносной нагрузки. WoofLocker даже получил дополнительное имя — 404Browlock, поскольку при переходе по ссылке напрямую (без редиректа) страница выдавала ошибку 404.

Исследователи также выяснили, что кампания до сих пор активна. В блоге Malwarebytes Жером Сегура, глава киберразведки, пишет:

«Используемая тактика и методы атакующих почти не изменились, однако они значительно усовершенствовали инфраструктуру, которая теперь гораздо устойчивее к попыткам вывода из строя».

«Фактически проверка цифрового отпечатка позволяет злоумышленникам детектировать виртуальные машины, определённые расширения браузеров и даже защитные инструменты».

Большинство веб-сайтов, загружающих WoofLocker, посвящены темам для взрослых. Инфраструктура использует хостеров в Болгарии и Украине, что позволило киберпреступникам построить более грамотную защиту от ликвидации.

Цель кампании — установить на компьютер пользователей блокировщик браузера, который будет предлагать заплатить за некое защитное решение от киберугроз.

 

Для снятия цифрового отпечатка киберпреступники используют API WEBGL_debug_renderer_info. Реальных пользователей от ботов и виртуальных машин отличают по свойствам графических драйверов.

Кто именно стоит за кампанией, эксперты пока затрудняются сказать. Тем не менее им удалось найти доказательства подготовки этих атак аж с 2017 года.

Из App Store пропали Дзен, VK Video и другие приложения VK

Из российского App Store пропала часть приложений холдинга VK. Как сообщает РБК, сейчас пользователи не могут скачать «Дзен», VK Video, VK Мессенджер, VK Музыку и VK Знакомства. При этом основные социальные сети компании пока остаются доступны.

Приложения «ВКонтакте» и «Одноклассники» по-прежнему можно найти и установить через App Store.

Что стало причиной исчезновения сервисов, пока неизвестно. На момент публикации ни Apple, ни VK официальных комментариев не дали.

Пока также неясно, идет ли речь о временном сбое, технических работах, удалении приложений из российского App Store или о каких-либо других причинах.

Для пользователей, у которых приложения уже установлены на iPhone, ситуация пока не означает автоматическое прекращение их работы. Однако скачать удалённые приложения заново или установить их на новое устройство сейчас невозможно.

Это уже не первый случай, когда приложения российских компаний исчезают из App Store. Ранее Apple неоднократно удаляла из российского каталога банковские приложения, VPN-клиенты и другие сервисы, после чего часть из них возвращалась под новыми названиями или в изменённом виде.

Остаётся ждать официальных разъяснений от Apple или VK, которые должны прояснить, что именно произошло с приложениями.

Update:

Пресс-служба VK предоставила официальный комментарий:

«VK никогда не находилась под санкциями и не фигурировала в санкционных списках, что подтверждают многочисленные заключения международных и американских юристов. Официальные заключения юристов и вся необходимая информация давно находится в распоряжении Apple. 

Тем не менее, Apple без предупреждений в одностороннем порядке удалила приложения VK. Своими действиями Apple ограничивает российских пользователей в доступе к востребованным сервисам, которыми ежедневно пользуются десятки миллионов: соцсетям, мессенджерам, видеоплатформам, электронной почте и образовательным продуктам. Действия Apple приведут к тому, что пользователи не будут получать пуш-уведомления о сообщениях и важных событиях. Считаем данные действия Apple по отношению к российским пользователям ничем не мотивированными и неприемлемыми.

VK продолжает работать в интересах пользователей и предпринимает все необходимые действия для обеспечения комфортного и безопасного доступа к продуктам и сервисам. Все приложения VK, которые были ранее установлены на смартфонах и устройствах Apple, продолжат работать. 

Приложения VK для пользователей Android доступны в полном объеме, включая обновления, уведомления и другие функции, — в RuStore, Google Play, Huawei AppGallery, Samsung Store, Xiaomi Store и на официальных сайтах продуктов».

RSS: Новости на портале Anti-Malware.ru