Новый Python-тулкит FBot атакует облачные сервисы и SaaS-платформы

Новый Python-тулкит FBot атакует облачные сервисы и SaaS-платформы

Новый Python-тулкит FBot атакует облачные сервисы и SaaS-платформы

Новый инструмент для взлома, написанный на Python, используется в атаках на веб-серверы, системы управления контентом, облачные сервисы и SaaS-платформы. Тулкит получил имя FBot.

Новую игрушку хакеров описал подробно в отчёте Алекс Деламотт, один из специалистов компании SentinelOne:

«Ключевой функциональностью FBot является возможность собирать учётные данные для последующего проведения спамерских атак. Помимо этого, инструмент позволяет проводить атаки против аккаунтов PayPal и SaaS».

Таким образом, FBot присоединился к другим похожим тулкитам: AlienFox (тоже ворует учетки AWS, Google, Microsoft 365 для рассылки спама), GreenBot, Legion и Predator.

В SentinelOne отметили, что FBot не тесно связан с упомянутыми семействами, поскольку в его коде нет отсылок к AndroxGh0st. Задача новой тулзы — взломать облачные сервисы и утащить учётные данные. После этого все логины и пароли продаются другим киберпреступникам.

Дополнительно FBot способен генерировать ключи API для AWS и Sendgrid, случайные IP-адреса, а также запускать сканеры IP и даже проверять актуальность PayPal-аккаунтов с помощью адресов электронной почты.

«Скрипт создаёт API-запрос к PayPal с помощью сайта hxxps://www.robertkalinkin.com/index.php, который представляет собой ретейл-ресурс литовского модельера», — объясняют исследователи.

«Интересно, что FBot выбрал именно этот сайт для аутентификации API-запросов к Paypal. Кстати, некоторые образцы Legion делали то же самое».

У новинки есть и специальные функции, заточенные под AWS: вредонос может проверять конфигурацию AWS Simple Email Service (SES). Интересно, что FBot также способен извлекать креды из файлов окружения Laravel.

Ростелеком опроверг использование белых списков для домашнего интернета

Информация об ограничении доступа в интернет для пользователей фиксированного доступа в «Ростелекоме» назвали не соответствующей действительности. В компании подчеркнули, что подобные меры могут быть оправданы только в отношении мобильного интернета.

С таким заявлением оператор выступил в комментарии для «Радио РБК». Как отметили в пресс-службе «Ростелекома», такие ограничения вводятся лишь при угрозе атак дронов.

Это объясняется тем, что мобильный интернет может использоваться для наведения боевых беспилотников на потенциальные цели. Введение аналогичных ограничений для фиксированного доступа в сеть в компании назвали лишённым смысла.

Телеграм-канал «Код Дурова», который ранее распространил информацию о том, что в Ростове некоторые пользователи фиксированного интернета столкнулись с доступом только к ресурсам из «белого списка», позже также признал, что у абонентов крупных провайдеров такой проблемы нет. По данным авторов канала, о сбоях уже несколько дней сообщают пользователи соцсетей, однако в основном речь идёт о клиентах небольших операторов.

«Источник «Кода Дурова» на телеком-рынке подтверждает, что провайдеры могут быть не причастны к ситуации, когда у пользователей открываются только российские сайты, так как ограничения могут вводиться на ТСПУ, контролируемых Роскомнадзором», — именно такую версию канал считает наиболее вероятной причиной ограничений доступа.

Как уточнили в самом операторе, о котором шла речь в новости об ограничениях, в тот момент он находился под DDoS-атакой. При этом передача данных продолжалась по каналам, которые эта атака не затронула.

RSS: Новости на портале Anti-Malware.ru