Троян Realst крадет криптовалюту под видом софта для видеоконференций

Троян Realst крадет криптовалюту под видом софта для видеоконференций

Троян Realst крадет криптовалюту под видом софта для видеоконференций

В Cado Security выявили новую схему распространения инфостилера Realst. Потенциальной жертве поступает деловое предложение; обсудить его можно по видеосвязи, скачав по подсказке профильную программу, а на самом деле — трояна.

Сайт вымышленного поставщика инструментов для видеоконференций заполнен контентом, сгенерированным ИИ; для него также созданы аккаунты в соцсетях. Название фейковой компании с сентября менялось несколько раз; зафиксированы Clusee, Cuesee, Meeten, Meetone и Meetio (текущее).

Сценарии привлечения пользователей на вредоносный сайт различны. Мошенники могут, к примеру, создать в Telegram поддельный аккаунт кого-то из знакомых своей мишени и от его имени озвучить желание обсудить коммерческое предложение по видеосвязи.

Многим жертвам предлагали сотрудничество в качестве инженера Web3. Зафиксирован также случай, когда работнику неназванной компании от ее имени пригласили присоединиться к инвестиционному проекту и даже прислали презентацию.

На всех сайтах мифического разработчика решений для видео-конференц-связи обнаружен JavaScript, который пытается вытащить криптовалюту из расширений кошельков в браузерах. Сценарий отрабатывает еще до загрузки замаскированного Realst, который предлагается в двух версиях: для macOS и Windows.

 

Версия для macOS отдается в виде файла CallCSSetup.pkg (возможен также формат DMG). При его открытии выводятся два сообщения об ошибке: сервер недоступен и несовместимость с версией ОС. Для исправления ситуации предлагается ввести пароль пользователя системы.

 

Чтобы выманить таким образом ключ, позволяющий повысить привилегии, троян использует инструмент командной строки osascript. Аналогичным образом действуют и другие стилеры — Atomic, Cuckoo, MacStealer, Banshee.

Версия Realst для Windows (MeetenApp.exe) распространяется как файл NSIS с валидной цифровой подписью. Сертификат, по словам аналитиков, был украден у британской компании Brys Software.

В инсталлятор встроено приложение Electron, загружающее с внешнего сервера исполняемый файл инфостилера, написанного на Rust. Постоянное присутствие зловреда в системе обеспечивается внесением изменений в реестр.

Троян Realst умеет собирать и отсылать на свой сервер следующую информацию:

  • системные данные;
  • учетки Telegram;
  • данные банковских карт;
  • пароль к связке ключей (macOS-версия);
  • куки и учетки, сохраненные в Google Chrome, Opera, Brave, Microsoft Edge, Arc, CocCoc, Vivaldi;
  • данные криптокошельков Ledger, Trezor, Phantom, Binance.

Пассажиров Яндекс Такси тайно наказывают рейтингом без права на обжалование

Автор «Хабра» Yselia (Мария Минакова) рассказала, как снижение рейтинга в сервисе такси с пяти до 4,85 балла якобы ухудшило качество поездок: машину пришлось ждать дольше, а приезжать стали водители с более низкими оценками.

По словам автора, рейтинг упал после поездки с водителем, который настойчиво пытался с ней познакомиться.

Поддержка при этом отвечала шаблонами, утверждала, что показатель ни на что не влияет, а один из сотрудников якобы заявил, что водители его вообще не видят. Исправить оценку или хотя бы объяснить причину её снижения в сервисе не смогли.

Тогда Мария устроила собственный полевой ресёрч и начала расспрашивать таксистов. Один из них признался, что не принимает заказы пассажиров с рейтингом ниже 4,87, поскольку ждёт от них проблем.

Другие опрошенные пассажиры также рассказали о случаях, когда водители отказывались от клиента с низкой оценкой, но сразу принимали тот же маршрут от его спутника с рейтингом повыше.

На профильном митапе докладчик, занимавшийся рейтингами, по словам Yselia, подтвердил влияние оценки пассажира. Однако развитие механизма обжалования слишком дорого и невыгодно для сервиса: каждую спорную двойку пришлось бы разбирать вручную.

Автор называет происходящее газлайтингом в UX: алгоритм может незаметно ухудшать обслуживание, но пользователь не знает, кто и за что снизил ему балл, и не способен оспорить решение.

Позиция Яндекса по описанному случаю пока не приводится.

RSS: Новости на портале Anti-Malware.ru