Инфостилеры используют утилиту Shellter для обхода антивирусов и EDR

Инфостилеры используют утилиту Shellter для обхода антивирусов и EDR

Инфостилеры используют утилиту Shellter для обхода антивирусов и EDR

Аналитики из Elastic Security Labs обнаружили, что для внедрения программ-стилеров в Windows злоумышленники стали использовать Shellter — инструмент пентеста, позволяющий обойти антивирусную защиту.

Специалисты по активному тестированию кибербезопасности (offensive security), в том числе эксперты Red Team, уже более 10 лет применяют эту утилиту для сокрытия шелл-кода в приложениях Windows (файлах PE) от антивирусов и EDR.

Первые факты злоупотребления Shellter были выявлены два месяца назад. Как оказалось, авторы текущих троянских атак для загрузки используют Shellter Elite версии 11.0, вышедшей 16 апреля.

За истекший срок было выявлено три кампании по раздаче инфостилеров с помощью этого инструмента:

  • Lumma, с загрузкой с файлового хостинга MediaFire;
  • Rhadamanthys, выдаваемый за читы и моды игр на YouTube (в описаниях роликов были вставлены ссылки, привязанные к MediaFire);
  • ArechClient2, также известный как SectopRAT.

Последнего начали распространять в мае через имейл-рассылки, ориентированные на создателей контента для YouTube. Адресатам от имени Udemy, Skillshare, Pinnacle Studio, Duolingo предлагают спонсорскую помощь; к письмам прикреплен архив RAR, содержащий безобидную рекламу и защищенный Shellter исполняемый файл.

 

Проверки на VirusTotal во всех случаях показывают низкий уровень детектирования — из-за изменяющегося на лету полиморфного кода, шифрования полезной нагрузки (AES-128 в режиме CBC), сокрытия системных вызовов и адресов API и прочих уловок, затрудняющих статический сигнатурный анализ.

Для каждого пейлоада в загрузчик вшиваются три даты:

  • старт заражения;
  • самоуничтожение (по умолчанию через год после инфицирования);
  • срок действия лицензии (во всех семплах одинаковый, до 17 апреля 2026 года, т. е. злоумышленникам удалось раздобыть лишь одну копию Shellter Elite).

5G в России не будет работать на iPhone

Доступ к сетям 5G на iPhone в России, по оценкам экспертов, остаётся заблокированным, а шансы на его появление близки к нулю. Причина в том, что для активации поддержки сети смартфону требуется подтверждение корректной работы от оператора, а получить его через Apple после ухода компании из России практически невозможно.

К такому выводу пришли эксперты, опрошенные «Известиями». Несмотря на то что iPhone поддерживает частоты, на которых должны работать сети 5G, их развёртывание начнётся в России уже в ближайшее время, доступ к ним на смартфонах Apple пока недоступен.

Как отметил один из источников издания, после ухода Apple с российского рынка взаимодействие компании с отечественными операторами практически прекратилось. Поэтому операторы не могут направить вендору запрос для подтверждения корректной работы устройств в своих сетях. Генеральный директор Enterprise Legal Solutions Анна Барабаш также отметила, что с юридической точки зрения ситуация остаётся сложной.

Ведущий аналитик Mobile Research Group Эльдар Муртазин обратил внимание, что из-за позиции Apple сертификация и настройка смартфонов для работы в российских сетях остаются невозможными. По этой же причине на iPhone в России не работает технология Voice-over-Wi-Fi.

«Операторы планируют использовать верхнюю часть полосы — 4,8–4,99 ГГц, где iPhone сейчас не работает, а с учётом ухода Apple специально под российский рынок частоту в прошивку, скорее всего, не добавят. Это не блокировка, а отсутствие сертификации поддиапазона производителем», — отметил эксперт НТИ по беспроводной связи Олег Яблоков. При этом, по его оценке, на спрос на продукцию Apple это не повлияет.

Как напоминают «Известия», Apple и раньше ограничивала доступ российских пользователей iPhone к новым сетевым технологиям. Так, полноценная поддержка LTE появилась лишь спустя несколько месяцев после запуска сетей российскими операторами. В 2021 году, после пилотного запуска 5G, Apple оказалась одним из немногих вендоров, не разблокировавших поддержку таких сетей.

RSS: Новости на портале Anti-Malware.ru