Water Saci вооружились ИИ: атаки в WhatsApp Web стали умнее и опаснее

Water Saci вооружились ИИ: атаки в WhatsApp Web стали умнее и опаснее

Water Saci вооружились ИИ: атаки в WhatsApp Web стали умнее и опаснее

Кибергруппа Water Saci, атакующая пользователей WhatsApp Web (принадлежит Meta, признанной экстремистской и запрещённой в России) решила, что пора перейти от кустарных методов к серьёзным атакам. Исследователи заметили, что кампании резко усложнились: вместо старых PowerShell-скриптов злоумышленники используют уже Python-варианты — и, похоже, не без помощи ИИ.

Напомним, ранее Water Saci использовала банковский троян Maverick.

Комментарии в новом коде выглядят так, будто злоумышленники просто попросили нейросеть «переписать всё красиво и побыстрее». Атаки, по данным исследователей из Trend Micro, начинаются максимально буднично: пользователю в WhatsApp прилетает какой-нибудь HTA, ZIP или PDF.

 

На вид — ничего необычного, но стоит открыть HTA-файл, как разворачивается целая многоступенчатая схема заражения. Внутри спрятан Visual Basic, упакованный в несколько слоёв обфускации.

Когда разобрать его всё-таки удаётся, он начинает стучаться на командные серверы, подтягивает MSI-установщик и дополнительно подгружает инструменты автоматизации — всё для того, чтобы в итоге впустить банковский троян.

Но главное — не сам троян, а то, как он теперь распространяется. Именно здесь и заметно вмешательство искусственного интеллекта. Новый Python-скрипт ведёт себя как аккуратно переписанная версия старого PowerShell, только умнее, быстрее и куда гибче.

 

Он с ходу поддерживает Chrome, Edge и Firefox, использует объектную структуру, оставляет комментарии а-ля «версия оптимизирована, обработка ошибок улучшена» и вообще производит впечатление человека, который взял курс по «эффективной разработке на Python» за пять минут до атаки.

Работает эта конструкция через WhatsApp Web: Python-скрипт запускает Selenium и начинает автоматизировать интерфейс, объезжая все контакты, вытягивая списки, рассылая файлы и подмешивая нужный JavaScript. В какой-то момент это выглядит уже не как преступная операция, а как маркетинговая рассылка — только с очень плохими подарками.

 

Финальная цель остаётся традиционной: доступ к банковским операциям пользователей. Троян изучает браузерную историю, проверяет приложения, присматривается к антивирусам, следит за окнами и пытается подменять интерфейс, чтобы украсть учётные данные.

И это уже не тот наивный вредонос, который легко раскусить: здесь есть и устойчивость, и продуманность, и техники закрепления в системе, чтобы жертва долго не могла понять, что происходит.

Роскомнадзор не спит: в России начались массовые сбои протокола VLESS

В России зафиксированы массовые сбои в работе протокола VLESS — одного из популярных способов обхода блокировок. Жалобы начали появляться со вчерашнего вечера и продолжают поступать из разных регионов страны — от Москвы до Дальнего Востока.

Пользователи сообщают о разрывах соединения через одну-две минуты после подключения, а в ряде случаев — о полной невозможности установить сессию.

По их словам, проблемы затрагивают как базовые конфигурации, так и более сложные схемы с маскировкой трафика под обычные сайты.

Речь идёт о протоколе VLESS, который используется в ряде решений для обхода ограничений и долгое время считался одним из наиболее устойчивых к фильтрации. Ранее его уже блокировали точечно, однако нынешняя волна, по оценкам пользователей профильных сообществ, носит более масштабный характер.

В качестве возможной причины называют обновление механизмов фильтрации трафика на уровне ТСПУ (технических средств противодействия угрозам). Предполагается, что системы научились выявлять характерные «отпечатки» трафика VLESS, даже если он маскируется под обычный веб-трафик.

Официальных комментариев по поводу ситуации пока не поступало. Между тем в тематических чатах и каналах активно обсуждают альтернативные схемы подключения и новые способы обхода фильтрации.

Похоже, что очередной этап противостояния между средствами блокировки и инструментами обхода вступил в новую фазу.

RSS: Новости на портале Anti-Malware.ru