SEO-ловушка: фейковые PuTTY и WinSCP распространяют бэкдор Oyster

SEO-ловушка: фейковые PuTTY и WinSCP распространяют бэкдор Oyster

SEO-ловушка: фейковые PuTTY и WinSCP распространяют бэкдор Oyster

Исследователи из Arctic Wolf зафиксировали новую волну атак с использованием фейковых установщиков популярных ИТ-инструментов вроде PuTTY и WinSCP. Вместо полезных утилит пользователи получают вредонос — бэкдор под названием Oyster (он же Broomstick или CleanupLoader). Кампания активно продвигается с помощью SEO и поддельной рекламы в поисковиках вроде Bing, а цель — в первую очередь системные администраторы и другие ИТ-специалисты.

Как происходит заражение

Пользователь ищет в поисковике нужную программу, кликает на ссылку — и попадает на сайт, который внешне не отличается от легитимного. Оттуда он скачивает вредоносный установщик (например, PuTTY-setup.exe), который после запуска устанавливает бэкдор и закрепляет его в системе.

 

Для этого создаётся задача планировщика, которая каждые три минуты запускает вредоносную DLL с помощью rundll32.exe. DLL-файлы могут называться, например, twain_96.dll или zqin.dll.

Как объясняют специалисты, после установки Oyster обеспечивает злоумышленнику удалённый доступ, собирает системную информацию, крадёт учётные данные, выполняет команды и может загружать дополнительные вредоносы — вплоть до шифровальщиков.

 

В июле исследователи из CyberProof зафиксировали реальный случай заражения: пользователь скачал фейковый PuTTY с сайта danielaurel.tv, файл был подписан отозванным сертификатом — это всё чаще встречается в подобных атаках. В этом случае атаку удалось остановить до того, как началась активная работа на заражённой машине, но инцидент показывает, насколько легко попасться.

Бэкдор не новенький

Oyster использовался и раньше — в 2023 году его распространяли под видом установщиков Chrome и Microsoft Teams. Тогда он также выступал в роли загрузчика для других вредоносов, в том числе шифровальщика Rhysida. Сейчас в ходу в основном фейковые версии PuTTY и WinSCP, но есть намёки, что в будущем может быть задействован и KeyPass.

Как защититься

Эксперты советуют отказаться от скачивания программ через поисковики. Лучше заходить на сайт разработчика напрямую или пользоваться внутренними репозиториями. Также рекомендуется блокировать известные вредоносные домены и отслеживать создание задач планировщика, в которых задействован rundll32.exe, — это один из признаков подобной активности.

Примеры вредоносных доменов и файлов:

  • Домен: updaterputty[.]com, zephyrhype[.]com, putty[.]run, putty[.]bet, puttyy[.]org
  • Хэши файлов (SHA256):
    • 3d22a974677164d6bd7166e521e96d07cd00c884b0aeacb5555505c6a62a1c26
    • a8e9f0da26a3d6729e744a6ea566c4fd4e372ceb4b2e7fc01d08844bfc5c3abb
    • 3654c9585f3e86fe347b078cf44a35b6f8deb1516cdcd84e19bf3965ca86a95b
  • DLL: zqin.dll
  • IP-адреса: 194.213.18.89, 85.239.52.99
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Большая часть транспортных систем будет отнесена к КИИ

Министр цифрового развития, связи и массовых коммуникаций Максут Шадаев в ходе выступления на международном форуме «Цифровая транспортация» анонсировал, что большинство информационных систем на транспорте будет отнесено к объектам критической информационной инфраструктуры (КИИ).

«Мы понимаем, что сейчас непростая экономическая ситуация, и не у всех компаний есть возможность оперативно внедрять новые российские цифровые технологии. Большая часть важнейших транспортных систем будет признана КИИ. Мы видим эту необходимость по всем транспортным компаниям», — такую цитату из выступления министра приводит «Российская газета».

По словам Шадаева, перечень систем, которые будут включены в категорию КИИ, появится до конца 2025 года. Для них установят жёсткие сроки перехода на отечественные решения.

Серьёзным вызовом остаётся рост числа атак на транспортную отрасль. Вице-президент «Лаборатории Касперского» по развитию бизнеса в России и странах СНГ Анна Кулашова привела следующие данные:

  • за последние 5 лет число кибератак на транспортную отрасль выросло на 48%;
  • на железнодорожный сектор — на 220%;
  • количество атак с применением программ-вымогателей увеличилось на 38%;
  • 35% атак в 2024 году длились более месяца, при этом их расследование занимало свыше 50 часов.

Как отметили участники конференции, частично процесс импортозамещения будет проходить естественным образом. Это связано с переходом всей товаросопроводительной документации в цифровую форму: такие данные аккумулируются в государственных информационных системах, порядок взаимодействия с которыми строго регламентирован.

2025 год также запомнился крупными инцидентами. К наиболее масштабным отнесена атака на «Аэрофлот» в конце июля, проведённая двумя проукраинскими хактивистскими группировками. Злоумышленники использовали, в том числе, уязвимости в устаревшем зарубежном ПО. По аналогичному сценарию была осуществлена атака на авиакомпанию «КрасаАвиа» в сентябре.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru