Несмотря на разгром, троян Lumma ожил и уже обокрал 95 жертв в 40 странах

Несмотря на разгром, троян Lumma ожил и уже обокрал 95 жертв в 40 странах

Несмотря на разгром, троян Lumma ожил и уже обокрал 95 жертв в 40 странах

На следующий день после анонса ФБР о ликвидации инфраструктуры Lumma Stealer исследователь Ракеш Кришнан (Rakesh Krishnan), известный также под ником The Raven File, обнаружил признаки возобновления активности грозного трояна.

Две недели назад Microsoft и ФБР перехватили контроль над 2300+ доменами, связанными с Lumma Stealer, он же LummaС2. В рамках международной операции правоохранительным органам удалось отключить серверы Windows-зловреда в других странах, однако победа оказалась временной.

Через несколько часов после публикации объявления ФБР и Минюстя США об успехе Кришнан обнаружил, что один из русскоязычных сайтов Lumma, с которого можно было получить доступ к его админ-панели, все еще активен.

 

Как оказалось, пользователи трояна продолжают выставлять добычу на продажу в Telegram. По состоянию на 22 мая свежие загрузки содержали пароли и куки 95 жертв из 41 страны — в основном из США, Бразилии, Индии и Колумбии.

 

На одном из теневых форумов было опубликовано заявление по поводу карательной акции правоохраны. Владельцы инфостилера подтвердили потерю почти 2,5 тыс. доменов, но опровергли конфискацию сервера, на котором хостился основной сайт Lumma.

По их словам, он находится в стране, недосягаемой для ФБР, хотя и был взломан через эксплойт iDRAC (встроенный в серверы Dell контроллер для удаленного админ-доступа) 16 мая. В итоге непрошеным гостям удалось отформатировать все диски, в том числе с бэкапом.

Функциональность сервера была быстро восстановлена, а iDRAC отсоединен от системной платы. Однако высокопоставленные взломщики успели заполучить IP-адреса клиентов Lumma-сервиса: не найдя списка на сервере, они создали на одном из размещенных на нем сайтов фишинговую страницу входа, через которую вдобавок запросили доступ к веб-камере.

Кришнан также обнаружил ряд новых доменов Lumma Stealer, зарегистрированных сразу после разгромной акции, в том числе mikhail-lermontov [.]com, fedor-dostoevskiy[.]com и yuriy-andropov[.]com.

Хостинг-провайдерам хотят запретить работать с VPN-сервисами

В России могут серьёзно усложнить жизнь не только VPN-сервисам, но и тем, кто даёт им инфраструктуру. Ко второму чтению законопроекта «Антифрод 2.0» подготовлены поправки, которые затрагивают хостинг-провайдеров.

Как выяснил «Коммерсант», компаниям могут запретить предоставлять серверы и вычислительные мощности тем, кто обеспечивает доступ к запрещённой информации. Под это определение потенциально подпадают и владельцы VPN-сервисов.

Если поправки примут, хостинг-провайдеры фактически перестанут быть просто «техническими посредниками». Им придётся самим проверять клиентов — сверять их с различными списками и отказывать в обслуживании тем, кто может нарушать требования.

И вот тут начинаются сложности. У многих компаний сейчас просто нет готовых инструментов и процессов, чтобы эффективно определять таких клиентов. А значит, переход на новую модель работы потребует дополнительных затрат — и времени, и денег.

На рынке уже предупреждают: всё это, скорее всего, скажется на ценах. Хостинг и так подорожал за последнее время более чем на 30% — из-за роста НДС и внедрения систем СОРМ. А новые требования могут добавить ещё один виток расходов.

Гендиректор хостинг-провайдера RUVDS Никита Цаплин считает, что интеграция с базами Роскомнадзора и необходимость отказывать части клиентов почти неизбежно приведут к дальнейшему росту стоимости услуг.

Напомним, сегодня пользователи начали замечать, что мобильное приложение «Госуслуг» больше не открывается при включённом VPN. Проблемы, по сообщениям пользователей, затронули и другие сервисы — например, «Яндекс Пэй».

RSS: Новости на портале Anti-Malware.ru