Фейковые ИИ-сайты распространяют троянизированные версии легитимного Syncro

Фейковые ИИ-сайты распространяют троянизированные версии легитимного Syncro

Фейковые ИИ-сайты распространяют троянизированные версии легитимного Syncro

«Лаборатория Касперского» предупредила о новой вредоносной кампании, в которой злоумышленники используют генеративный ИИ для создания поддельных сайтов. Через такие страницы распространяются троянизированные версии легитимного инструмента для удалённого доступа Syncro. В случае успешной атаки киберпреступники получают полный контроль над целевым устройством.

Главная цель преступников — кража криптокошельков. По данным компании, от атак уже страдают пользователи в Латинской Америке, Азиатско-Тихоокеанском регионе, Европе и Африке.

Киберпреступники используют ИИ-сервисы, чтобы быстро и массово генерировать фейковые страницы. Они напоминают лендинги популярных криптокошельков, защитных решений и менеджеров паролей, но не являются их полной копией — лишь достаточно правдоподобной, чтобы не вызвать подозрений.

Пользователи могут столкнуться с подделками в поисковой выдаче или перейти по ссылкам из фишинговых писем. Попав на сайт, им показывают «предупреждение о проблеме безопасности» и предлагают скачать программу, которая якобы решит эту несуществующую угрозу. Это классическая уловка — заставить человека установить вредоносный инструмент под видом защиты.

Запустив загруженную программу, пользователь фактически устанавливает вредоносную сборку Syncro. Этот инструмент обычно используют специалисты техподдержки, но в руках злоумышленников он превращается в полноценный бэкдор. Преступники получают доступ к экрану, файлам и управлению системой, что позволяет им похищать криптоданные и любые другие сведения.

Продукты «Лаборатории Касперского» детектируют такие сборки как HEUR:Backdoor.OLE2.RA-Based.gen.

Владимир Гурский, эксперт компании, отмечает: массовая генерация фишинговых сайтов с помощью ИИ меняет правила игры. Криминальные группы могут масштабировать атаки быстрее, чем раньше, но при этом по-прежнему рассчитывают на доверие пользователей к известным брендам и срочные «предупреждения». Поэтому при загрузке любого софта важно сохранять осторожность — даже если сайт выглядит знакомым и надёжным.

Подпишитесь на новости

В России ограничивают целые сети хостингов: соединение есть, данные не идут

Российские пользователи могут сталкиваться с ограничениями доступа не к отдельным сайтам, а к сетям зарубежных хостинг-провайдеров. К такому выводу пришёл автор под ником msinakaev: он проверил 435 тестовых точек у 154 компаний. Характерный симптом — соединение устанавливается, передаёт немного данных и зависает.

Методику и результаты автор опубликовал на Хабре. Сначала исследователь проверил доступность файлов из Европы, затем повторил тесты из России.

Через домашнее подключение загрузка прошла у 87% точек. Зависшие адреса, по его подсчётам, сгруппировались в 14 сетей, включая OVH, Hetzner, DigitalOcean, Vultr и Scaleway.


Стоит отметить, что небольшой хостинг может арендовать инфраструктуру крупного провайдера и попадать под ограничения вместе с его сетью. У одного бренда разные площадки поэтому могут работать по-разному.


Дополнительные эксперименты привели автора к выводу, что порог зависит от количества пакетов в TCP-соединении, а не от фиксированного объёма данных. После его достижения обмен зависал в обе стороны. Проверенные UDP-подключения в этих опытах продолжали работать.


Исследователь связывает поведение с ТСПУ, но доступа к оборудованию и правилам фильтрации у него нет.

Тем не менее масштаб выводов стоит держать в узде: основные замеры сделаны 5-6 ноября одним человеком на двух подключениях в одном городе, МТС проверялся на небольшой выборке. AWS и Azure в исследование не вошли.

RSS: Новости на портале Anti-Malware.ru