Самый масштабный шифровальщик StopCrypt научился уходить от антивирусов

Самый масштабный шифровальщик StopCrypt научился уходить от антивирусов

Самый масштабный шифровальщик StopCrypt научился уходить от антивирусов

Исследователи наткнулись на новый вариант программы-вымогателя StopCrypt (также его называют STOP), который теперь использует многоступенчатый процесс выполнения, включающий шелл-коды, что помогает уйти от детектирования защитными средствами.

StopCrypt выделяется на фоне других шифровальщиков масштабами операций. На сегодняшний день это самый широко распространяемый вредонос такого класса.

Тем не менее, когда речь заходит о шифровальщиках, мы чаще слышим про LockBit, BlackCat и Clop, чем про StopCrypt. Почему? Ответ прост: операторы этого зловреда предпочитают атаковать пользователей, а не организации.

Расчёт злоумышленников — собрать множество мелких сумм выкупа (от 400 до 1000 долларов), не гоняясь за миллионами. Как правило, программа-вымогатель распространяется через вредоносную рекламу и в связке с адваре.

С 2018 года, когда StopCrypt был впервые замечен в атаках, компонент шифратора практически не изменился. Новые версии вредоноса выпускаются с целью устранить критические баги.

Команда исследователей из SonicWall недавно наткнулась на новый вариант StopCrypt. Отличаются новые семплы многоступенчатым механизмом выполнения.

Сначала вымогатель загружает малозначимую библиотеку msim32.dll, скорее всего, для отвлечения внимания. Позже происходит ряд лупов, задерживающих время, что позволяет обойти проверки защитными средствами.

Дальше динамически созданные API-запросы помогают программе выделить необходимое пространство памяти для разрешения на чтение-запись.

Следующим шагом StopCrypt перехватывает легитимные процессы и внедряет пейлоад, который выполняется в памяти. Эти образцы добавляют к зашифрованным файлам расширение «.msjd».

Казахстанских инвесторов заманивают на фейковые ИИ-платформы с прибылью

Мошенники оседлали хайп вокруг искусственного интеллекта и теперь предлагают зарабатывать с помощью умных торговых платформ. Нейросеть якобы сама анализирует рынок, заключает сделки и приносит гарантированную прибыль. Звучит слишком хорошо? Именно так и задумано.

Аналитики «Эфшесть/F6» обнаружили 64 мошеннических ресурса, работающих по этой схеме.

Большинство рассчитано на русскоязычную аудиторию, однако отдельные сайты нацелены на жителей Казахстана, Польши и Болгарии. Около 80% площадок прикрываются брендами ИТ-компаний, 18% — банков, ещё 2% используют названия социальных сетей.

В одной из кампаний аферисты выдают несуществующую ИИ-платформу за новый продукт казахстанского банка. Для убедительности запускают фейковые новости с известными компаниями и чиновниками, а посетителю предлагают пройти небольшой опрос. Дальше в игру вступает оператор мошеннического кол-центра.

 

Другой пример — поддельный чат-бот GPT Trade. Он рисует графики успешных сделок и обещает заработок до 299 евро в день. Никакой торговли, разумеется, нет: пользователю нужно оставить номер телефона, после чего его начинают уговаривать внести первый депозит. Если деньги переведены, давление усиливается: мошенники требуют нарастить инвестиции ради ещё большей прибыли.

 

Продвигают эту красоту через поисковики, поддельные отзывы, липовые обзоры и сайты, замаскированные под СМИ. Причём фальшивые публикации могут попадать в ответы поисковых ИИ-сервисов и придавать легенде дополнительную убедительность. На одном из ресурсов специалисты также обнаружили дипфейк.

По данным F6, 86% найденных площадок приходится непосредственно на инвест-ботов, оставшиеся 14% — на фейковые СМИ, ведущие жертв на мошеннические сайты.

RSS: Новости на портале Anti-Malware.ru