Инфостилеры используют утилиту Shellter для обхода антивирусов и EDR

Инфостилеры используют утилиту Shellter для обхода антивирусов и EDR

Инфостилеры используют утилиту Shellter для обхода антивирусов и EDR

Аналитики из Elastic Security Labs обнаружили, что для внедрения программ-стилеров в Windows злоумышленники стали использовать Shellter — инструмент пентеста, позволяющий обойти антивирусную защиту.

Специалисты по активному тестированию кибербезопасности (offensive security), в том числе эксперты Red Team, уже более 10 лет применяют эту утилиту для сокрытия шелл-кода в приложениях Windows (файлах PE) от антивирусов и EDR.

Первые факты злоупотребления Shellter были выявлены два месяца назад. Как оказалось, авторы текущих троянских атак для загрузки используют Shellter Elite версии 11.0, вышедшей 16 апреля.

За истекший срок было выявлено три кампании по раздаче инфостилеров с помощью этого инструмента:

  • Lumma, с загрузкой с файлового хостинга MediaFire;
  • Rhadamanthys, выдаваемый за читы и моды игр на YouTube (в описаниях роликов были вставлены ссылки, привязанные к MediaFire);
  • ArechClient2, также известный как SectopRAT.

Последнего начали распространять в мае через имейл-рассылки, ориентированные на создателей контента для YouTube. Адресатам от имени Udemy, Skillshare, Pinnacle Studio, Duolingo предлагают спонсорскую помощь; к письмам прикреплен архив RAR, содержащий безобидную рекламу и защищенный Shellter исполняемый файл.

 

Проверки на VirusTotal во всех случаях показывают низкий уровень детектирования — из-за изменяющегося на лету полиморфного кода, шифрования полезной нагрузки (AES-128 в режиме CBC), сокрытия системных вызовов и адресов API и прочих уловок, затрудняющих статический сигнатурный анализ.

Для каждого пейлоада в загрузчик вшиваются три даты:

  • старт заражения;
  • самоуничтожение (по умолчанию через год после инфицирования);
  • срок действия лицензии (во всех семплах одинаковый, до 17 апреля 2026 года, т. е. злоумышленникам удалось раздобыть лишь одну копию Shellter Elite).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Вышел первый релиз СУБД Arenadata DB на базе Greengage

Группа Arenadata представила первый релиз своей MPP-СУБД Arenadata DB (ADB), собранный на основе открытого проекта Greengage. Это важный шаг, который закрепляет полную независимость развития продукта от технологии Greenplum, ранее служившей его основой.

В рамках перехода команда настроила CI/CD-процессы для сборки ADB из репозиториев Greengage и обновила всю техническую документацию. Новый релиз Arenadata DB 6.29.0 стал ключевым этапом, который создаёт фундамент для дальнейшего развития системы.

По словам технического директора Arenadata Дмитрия Плужникова, после ухода Greenplum из open source было важно сохранить контроль над развитием ядра:

«Теперь мы можем самостоятельно вносить изменения в код, решать накопленные проблемы и развивать технологию вместе с профессиональным сообществом».

Одним из первых практических результатов перехода стало устранение проблемы «брошенных» файлов (orphaned files) — давнего бага, унаследованного от PostgreSQL и долго не исправлявшегося в апстриме Greenplum.

Переход на Greengage даёт Arenadata возможность параллельно поддерживать две линии развития продукта:

  • текущую — ADB 6, с сохранением обратной совместимости;
  • и новую — ADB 7, релиз которой запланирован на конец 2025 года.

Проект Greengage, на котором теперь основана СУБД, развивается как самостоятельное решение с открытым кодом под лицензией Apache 2.0. Arenadata поддерживает открытую модель разработки и уже запустила процедуру приёма внешних коммитов, позволяющую сторонним разработчикам вносить вклад в улучшение системы.

Arenadata DB остаётся массивно-параллельной реляционной СУБД для работы с большими объёмами данных — от десятков до сотен терабайт. Система рассчитана на выполнение сложных аналитических запросов и построение корпоративных хранилищ с горизонтальной масштабируемостью.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru