Взломщики сайтов Boolka опробуют drive-by-загрузку нового трояна-стилера

Взломщики сайтов Boolka опробуют drive-by-загрузку нового трояна-стилера

Взломщики сайтов Boolka опробуют drive-by-загрузку нового трояна-стилера

Исследователи из Group-IB обнаружили в интернете три тестовых лендинг-страницы, созданных для распространения вредоносных программ. Одна из них в марте использовалась для раздачи неизвестного ранее модульного трояна BMANAGER.

Анализ показал, что платформа доставки зловредов построена на базе opensource-реймворка BeEF. Ее создатели, которых в ИБ-компании идентифицируют как Boolka, уже третий год занимаются массовым взломом сайтов через SQL-инъекции и кражей данных из веб-форм с помощью внедренных JavaScript-кодов.

Заражение BMANAGER начинается с загрузчика со вшитым URL. Вредонос также создает запланированные задания Windows для запуска основного модуля при каждом входе жертвы в систему.

 

Сам BMANAGER тоже умеет загружать файлы с внешнего сервера (адрес прописан в коде) и обеспечивать им автозагрузку. Для коммуникаций с C2 используются запросы HTTP(S) GET.

Все дополнительные модули написаны на Python и выполняют следующие функции:

  • эксфильтрация данных из локальной базы SQL;
  • кейлоггинг;
  • выявление запущенных приложений и окон с фокусом клавиатурного ввода с помощью хуков Windows;
  • кража файлов по выбору оператора.

Один из образцов BMANAGER (на 25 июня распознают 35 из 74 антивирусов VirusTotal) был подписан действующим сертификатом, выданным софтверной компании «ТАСК» из подмосковного Дмитрова. Аналитики полагают, что его сфальсифицировали или украли, хотя инсайд как версия тоже возможен.

Вам посылка: мошенники заманивают россиян в поддельные Telegram-боты

Мошенники придумали новый способ доставить россиянам проблемы вместо посылок. Они звонят от имени «Почты России», предлагают уточнить адрес для получения письма или заказа, а затем отправляют жертву в поддельный Telegram-бот.

О распространении схемы рассказал член комитета Госдумы по информационной политике Антон Немкин.

По его словам, злоумышленники стараются максимально правдоподобно копировать официальные сервисы и используют доверие людей к известной организации.

Легенда проста: якобы пришло заказное письмо или посылка, но для доставки не хватает данных. Человека убеждают продолжить общение в мессенджере и воспользоваться якобы официальным ботом.

Там уже могут запросить персональные сведения, данные банковской карты или код из СМС. Никакой посылки, разумеется, не существует, зато риск потерять аккаунт или деньги вполне настоящий.

Расчёт сделан на автоматическую реакцию. Услышав о почтовом отправлении, человек может поспешить и выполнить инструкции, особенно если действительно ждёт заказ. Этим мошенники и пользуются: знакомое название, убедительный повод и немного срочности — готовый набор для цифрового развода.

Немкин призвал не переходить по ссылкам и не использовать контакты, которые прислал звонивший. Если информация кажется правдоподобной, её следует проверить самостоятельно через официальный сайт, приложение или номер «Почты России».

Просьба назвать код из СМС, данные карты или перейти в сторонний чат-бот — повод немедленно завершить разговор. Настоящая почта может задержать посылку, но код от вашего аккаунта ей точно не понадобится.

RSS: Новости на портале Anti-Malware.ru