Трояна Buhtrap вновь раздают с фейковых сайтов для юристов и финансистов

Трояна Buhtrap вновь раздают с фейковых сайтов для юристов и финансистов

Трояна Buhtrap вновь раздают с фейковых сайтов для юристов и финансистов

Эксперты F.A.C.C.T. зафиксировали новую атаку Buhtrap по своей клиентской базе. Сотрудник подопечной компании скачал трояна вместо шаблона документа, который он пытался найти через «Яндекс»; вредоносный сайт всплыл в первых строках поисковой выдачи.

Запуск Windows-зловреда, используемого для хищения денежных средств с корпоративных счетов в банках, был с успехом заблокирован. Анализ показал, что за полтора года затишья схема атак Buhtrap практически не изменилась.

Загруженный с поддельного сайта ZIP-архив содержит исполняемый файл с вводящим в заблуждение именем Документ № [0-9].exe — начальный загрузчик (лоадер). При его активации распаковывается дроппер, запускающий Wordpad.exe с пустым документом.

Развертывание целевой полезной нагрузки происходит, когда жертва закрыла окно Wordpad . По словам экспертов, этот трюк применяется для обхода песочниц.

Троян сохраняется на диск и прописывается в системном реестре на автозагрузку как экзешник с произвольным именем (на латинице). Весной 2023 года вредонос оседал в системах в виде DLL.

В рамках новой Buhtrap-кампании было выявлено несколько взаимосвязанных сайтов-приманок (все домены зарегистрированы в конце июля):

  • астраюрист[.]рф;
  • фин-баланс[.]рф;
  • финансовыйбаланс[.]рф;
  • законноерешение[.]рф (пока не используется).

Чтобы повысить их позиции в результатах поиска, злоумышленники применяют методы черной оптимизации (black SEO). Под встроенными в страницы кнопками «Скачать документ» скрыт редирект на другой вредоносный ресурс в той же инфраструктуре.

 

Русскоговорящая группировка Buhtrap объявилась в интернете осенью 2014 года. Ее жертвы — в основном российские юрлица; одноименный троян обычно распространяется через взломанные или специально созданные сайты для финансистов и юристов (метод watering hole), реже — вложением в поддельные письма.

Ущерб от атак Buhtrap в период с 2020 года по 2022-й в F.A.C.C.T. оценили в 2 млрд руб., за все годы активности кибергруппы в глобальном масштабе — в 6-7 млрд рублей.

Кому стоит опасаться усиления контроля над оборотом наличных

20 мая Банк России рекомендовал кредитным организациям усилить контроль за операциями по внесению крупных сумм наличных. Мера направлена на противодействие легализации преступных доходов. Банкам предлагается ежедневно анализировать операции клиентов и обращать внимание на характерные признаки подозрительной активности.

Для физических и юридических лиц, а также индивидуальных предпринимателей эти признаки различаются. Соответствующие методические рекомендации 1-МР Банк России выпустил 20 мая.

При этом рекомендации не касаются клиентов, чьё финансовое положение, деловая репутация и источники происхождения средств уже подтверждены документально. В таких случаях банк располагает всей необходимой информацией, поэтому дополнительная проверка не требуется.

Как прокомментировала агентству «Прайм» доцент кафедры финансов устойчивого развития РЭУ им. Г. В. Плеханова, международный финансовый советник Мария Ермилова, внимание банков могут привлечь клиенты, которые вносят крупные суммы наличными — не менее 5 млн рублей в течение 30 дней. Особый интерес вызовут случаи, когда средства со счетов, пополненных наличными, быстро расходуются.

«Основная цель рекомендаций — противодействие легализации (отмыванию) доходов, полученных преступным путём, и другим противозаконным действиям. Если человек вносит крупные суммы наличными и не может подтвердить их происхождение, его операциями могут заинтересоваться. Если все документы в порядке — ничего не изменится», — отметила финансист.

Мария Ермилова рекомендовала заранее подготовить документы, подтверждающие происхождение средств. Это поможет избежать возможных проблем из-за повышенного внимания со стороны банков.

Между тем в России растёт оборот наличных. По данным на конец апреля, объём наличных на руках у населения и бизнеса составил 20 трлн рублей. В таких сферах, как продовольственная и мебельная розница, продажи автотоваров, строительство и общественное питание, доля расчётов наличными превысила треть.

RSS: Новости на портале Anti-Malware.ru