Бэкдор Pure маскируется под «сверки» и «акты» — волна атак в РФ

Бэкдор Pure маскируется под «сверки» и «акты» — волна атак в РФ

Бэкдор Pure маскируется под «сверки» и «акты» — волна атак в РФ

Мошенники активно рассылают в российские организации троянов Pure под видом бухгалтерских документов. По данным «Лаборатории Касперского», с января число таких имейл-атак возросло в четыре раза в сравнении с показателем годовой давности.

Семейство Windows-зловредов Pure (загрузчик PureCrypter, инфостилер PureLogs, бэкдоPureRAT) в ИБ-компании отслеживают с 2022 года. Многофункциональные трояны предоставляются в пользование по модели MaaS (Malware-as-a-Service, «вредонос как услуга»).

В рамках текущей кампании злоумышленники распространяют поддельные письма с вредоносной ссылкой или RAR-вложением, которое содержит исполняемый файл, замаскированный под документ PDF.

Имена архивных файлов обычно содержат слова doc, akt, sverka, buh, oplata. Иногда также встречаются упоминания компаний, разрабатывающих бухгалтерский софт или предоставляющих услуги по его внедрению.

При запуске вредоносный экзешник копирует себя в папку %AppData% под именем Task.exe, создает в папке автозапуска скрипт Task.vbs и извлекает из ресурсов файлы StilKrip.exe (PureCrypter, загружающий PureLogs) и Ckcfb.exe (PureRAT).

Последний собирает информацию о зараженной системе (версия ОС, имя пользователя и компьютера, установленный антивирус) и в формате protobuf передает ее на C2-сервер, устанавливая SSL-соединение.

В ответ троян может получить команду на загрузку дополнительных модулей с данными конфигурации. Таких плагинов у PureRAT несколько десятков.

Модуль PluginPcOption, например, способен по команде выполнять самоудаление, перезапуск текущего файла, выключение / перезагрузку компьютера. Компонент PluginWindowNotify отслеживает запуск финансовых сервисов, чтобы оператор зловреда смог подключиться в режиме удаленного стола и опустошить счет жертвы.

 

Вредонос PureLogs умеет воровать данные из браузеров на основе Chromium и Gecko, а также из следующих приложений:

  • почтовых клиентов Foxmail, Mailbird, Outlook, MailMaster;
  • файловых менеджеров FileZilla, WinSCP;
  • мессенджеров Discord, Pidgin, Signal, Telegram;
  • OpenVPN, Proton VPN;
  • Steam, DownloadManager, OBS Studio, ngrok;
  • криптокошельков (40 наименований).

Стилер также интересуется браузерными расширениями (кошельки, менеджеры паролей) и обладает функциями загрузчика — по команде с С2 скачивает с указанного ресурса файл и запускает на исполнение.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Новый метод освещения поможет выявлять дипфейки и поддельные видео

Исследователи из Корнелльского университета придумали способ, который может серьёзно помочь в борьбе с поддельными видео. Они предложили встраивать невидимые цифровые водяные знаки прямо в источники света на съёмочной площадке. Эта технология получила название «шумокодированное освещение» (noise-coded illumination) и была представлена 10 августа на конференции SIGGRAPH 2025 в Ванкувере.

Вместо того чтобы встраивать водяные знаки в сам видеофайл (как это делалось раньше и требовало совместимых камер или ПО), новый метод меняет свет, которым освещается сцена.

Камера — хоть профессиональная, хоть обычный смартфон — автоматически «захватывает» эти едва заметные колебания яркости и частоты света. Глазом их не увидеть, но специальный анализ легко их распознаёт.

Программируемые источники (вроде мониторов или студийных ламп) можно закодировать с помощью софта. Обычные лампы тоже подойдут, если оснастить их небольшой микросхемой размером с почтовую марку.

Каждая лампа получает уникальный код, который создаёт что-то вроде «второго видео» — с временной меткой и немного изменённым освещением.

Если кто-то пытается подделать кадры или вставить в них фальшивые элементы, эти кодированные видео тут же «выдают» нестыковки. Пропавшие куски появляются как пробелы, а сгенерированные объекты — как чёрные пятна. Причём в одной сцене можно использовать сразу несколько независимых кодов, что делает задачу подделки ещё сложнее.

 

По словам авторов, технология работает даже в некоторых условиях на улице и одинаково надёжно с людьми разного цвета кожи. Однако они подчёркивают: это не панацея. С развитием генеративного ИИ подделывать видео будет всё проще, а значит, и методы защиты должны постоянно совершенствоваться.

Как отметил один из создателей, профессор Эйб Дэвис, раньше видео считалось доказательством, а теперь его можно «снять» о чём угодно. Это может быть весело, но и опасно, ведь отличить правду от вымысла становится всё труднее.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru