SEO-ловушка: фейковые PuTTY и WinSCP распространяют бэкдор Oyster

SEO-ловушка: фейковые PuTTY и WinSCP распространяют бэкдор Oyster

SEO-ловушка: фейковые PuTTY и WinSCP распространяют бэкдор Oyster

Исследователи из Arctic Wolf зафиксировали новую волну атак с использованием фейковых установщиков популярных ИТ-инструментов вроде PuTTY и WinSCP. Вместо полезных утилит пользователи получают вредонос — бэкдор под названием Oyster (он же Broomstick или CleanupLoader). Кампания активно продвигается с помощью SEO и поддельной рекламы в поисковиках вроде Bing, а цель — в первую очередь системные администраторы и другие ИТ-специалисты.

Как происходит заражение

Пользователь ищет в поисковике нужную программу, кликает на ссылку — и попадает на сайт, который внешне не отличается от легитимного. Оттуда он скачивает вредоносный установщик (например, PuTTY-setup.exe), который после запуска устанавливает бэкдор и закрепляет его в системе.

 

Для этого создаётся задача планировщика, которая каждые три минуты запускает вредоносную DLL с помощью rundll32.exe. DLL-файлы могут называться, например, twain_96.dll или zqin.dll.

Как объясняют специалисты, после установки Oyster обеспечивает злоумышленнику удалённый доступ, собирает системную информацию, крадёт учётные данные, выполняет команды и может загружать дополнительные вредоносы — вплоть до шифровальщиков.

 

В июле исследователи из CyberProof зафиксировали реальный случай заражения: пользователь скачал фейковый PuTTY с сайта danielaurel.tv, файл был подписан отозванным сертификатом — это всё чаще встречается в подобных атаках. В этом случае атаку удалось остановить до того, как началась активная работа на заражённой машине, но инцидент показывает, насколько легко попасться.

Бэкдор не новенький

Oyster использовался и раньше — в 2023 году его распространяли под видом установщиков Chrome и Microsoft Teams. Тогда он также выступал в роли загрузчика для других вредоносов, в том числе шифровальщика Rhysida. Сейчас в ходу в основном фейковые версии PuTTY и WinSCP, но есть намёки, что в будущем может быть задействован и KeyPass.

Как защититься

Эксперты советуют отказаться от скачивания программ через поисковики. Лучше заходить на сайт разработчика напрямую или пользоваться внутренними репозиториями. Также рекомендуется блокировать известные вредоносные домены и отслеживать создание задач планировщика, в которых задействован rundll32.exe, — это один из признаков подобной активности.

Примеры вредоносных доменов и файлов:

  • Домен: updaterputty[.]com, zephyrhype[.]com, putty[.]run, putty[.]bet, puttyy[.]org
  • Хэши файлов (SHA256):
    • 3d22a974677164d6bd7166e521e96d07cd00c884b0aeacb5555505c6a62a1c26
    • a8e9f0da26a3d6729e744a6ea566c4fd4e372ceb4b2e7fc01d08844bfc5c3abb
    • 3654c9585f3e86fe347b078cf44a35b6f8deb1516cdcd84e19bf3965ca86a95b
  • DLL: zqin.dll
  • IP-адреса: 194.213.18.89, 85.239.52.99
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники освоили кражи с Пушкинской карты

В России распространяется новая схема хищения средств с «Пушкинских карт». Основной целью аферистов становятся подростки, преимущественно из сельской местности. Мошенники выходят на связь через социальные сети или мессенджеры и предлагают «обналичить» средства.

Как сообщило РИА Новости со ссылкой на материалы МВД России, злоумышленники требуют у жертв все реквизиты карты, включая CVV-код. Получив данные, они списывают деньги, после чего перестают выходить на связь и блокируют свои аккаунты и телефонные номера.

По словам депутата Госдумы Яны Лантратовой, которая прокомментировала ситуацию для РИА Новости, проблема возникла из-за того, что не все школьники могут использовать средства с «Пушкинских карт» по назначению. Особенно остро это ощущается в сельской местности, где зачастую просто негде потратить эти деньги.

Лантратова предложила расширить возможности использования карт — например, разрешить оплачивать покупку книг классической литературы, а также экскурсии в региональные центры или соседние субъекты РФ. Кроме того, необходимо проводить обучение школьников безопасному использованию «Пушкинских карт» в рамках уроков и внешкольных мероприятий.

«Если вашему ребенку предлагают купить или обналичить "Пушкинскую карту", знайте — это мошенники. Законными способами снять деньги с "Пушкинской карты" невозможно», — предупредили в МВД.

Первые случаи незаконного вывода средств с «Пушкинских карт» были зафиксированы ещё в 2022 году и были связаны с организацией фиктивных мероприятий. В 2023 году их организаторы были арестованы. По схожей схеме действовали мошенники в Новосибирске и Рязани, задержанные в мае текущего года.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru