Обзор новостей информационной безопасности с 24 по 30 мая 2024 года

Андрей Жаркевич
редактор


Артемий Богданов
технический директор


Сергей Волдохин
выпускающий редактор

Киберкампании

Троян AllaKore атакует банки Бразилии, пытаясь похитить учётные данные для доступа к банковским счетам.

Целью вредоноса ужже стали банки Banco do Brasil, Bradesco, Banco Safra, Caixa Econômica Federal, Itaú Unibanco, Sicoob и Sicredi.

Схема кампании:

1. Злоумышленники рассылают фишинговые сообщения с вредоносными ссылками.

2. Ссылки содержат LNK-ярлык Windows, замаскированный под PDF-документ, размещенный на сервере WebDAV.

3. Ярлык открывает командную оболочку Windows, отображает подставной PDF-документ и загружает BAT-файл «c.cmd».

4. BAT-файл запускает PowerShell команду, которая скачивает бинарный файл Python с официального сайта (python.org) и выполняет скрипт BPyCode.

5. Скрипт BPyCode загружает и запускает динамическую библиотеку (executor.dll).

6. DLL-библиотека извлекается из одного из доменных имен, созданных с помощью алгоритма генерации домена (DGA). Сгенерированные имена хостов соответствуют тем, которые связаны со службой Microsoft Azure Functions, бессерверной инфраструктурой, которая в данном случае позволяет операторам легко развертывать и управлять промежуточной инфраструктурой.

7. Библиотека выполняется в памяти и внедряет троян AllaSenha в легитимный процесс «mshta.exe».

Помимо кражи учетных данных для онлайн-банкинга из веб-браузеров, AllaSenha может отображать наложенные окна для захвата кодов двухфакторной аутентификации (2FA) и даже обманом заставить жертву отсканировать QR-код для одобрения мошеннической транзакции, инициированной злоумышленниками.

Все образцы AllaSenha используют Access_PC_Client_dll.dll в качестве исходного имени файла. Такое имя можно найти в проекте KL Gorki — банковском вредоносном ПО, которое, по-видимому, сочетает компоненты AllaKore и ServerSocket.

Киберпреступники воспользовались запуском Arc для Windows для проведения вредоносной кампании через Google Ads.

Схема действий преступников

1. По поисковым запросам в Google «arc installer» и «arc browser windows» выводились объявления с официальным адресом сайта браузера Arc.

2. Однако после клика по рекламе пользователи не попадали на официальный сайт, а перенаправлялись на вредоносные домены, визуально напоминающие реальный сайт Arc.

3. После нескольких перенаправлений домен в адресной строке браузера уже не совпадает с официальным, однако, так как интерфейс сайта выглядит вполне легитимно, многие пользователи не обращают внимания на содержимое адресной строки.

4. При нажатии на кнопку «Скачать» загружается троянский установщик с платформы MEGA, который затем загружает дополнительное вредоносное ПО под названием «bootstrap.exe» с внешнего ресурса. При этом легитимный Arc Browser действительно устанавливается на целевую систему, чтобы избежать подозрений со стороны пользователя.

5. Этот троянский установщик использует API MEGA для совершения C2-операций, отправляя и получая операционные инструкции и данные. Вредоносный файл также загружает PNG-файл с вредоносным кодом, который компилируется и сбрасывает конечный вредоносный файл «JRWeb.exe» на диск жертвы.

6. Эксперты также зафиксировали отдельную цепочку заражения, где установщик использует исполняемый файл Python для внедрения кода в «msbuild.exe», который запрашивает команды с внешнего сайта для выполнения.

7. Проверив вредоносную рекламу через Google Ad Transparency Center, аналитики выяснили, что её создатель — украинская компания САЛОН СОФТ.

Эксперты предполагают, что вредоносное ПО во всех рассмотренных атаках является инфостилером. Поскольку настоящий браузер Arc в итоге устанавливается на компьютер жертвы, а вредоносные файлы работают незаметно в фоновом режиме, пользователи вряд ли поймут, что их устройства заражены.

Компания F.A.C.C.T. обнаружила мошенническую кампанию, нацеленную на желающих незаконно получить водительские права.

Как работают мошенники

1. Аналитики выявили более 200 ресурсов, предлагающих «легальные» водительские права для управления различными транспортными средствами.

2. Аферисты целятся на жителей крупных городов, таких как Москва, Санкт-Петербург, Казань, Ростов-на-Дону, Ярославль и Воронеж.

3. Каждый сайт мошенников создается под конкретный город и позиционируется как местная компания, например, MosPrava в Москве и VolPrava в Волгограде.

4. На этих ресурсах мошенники уверяют, что смогут оформить водительские права без лишних хлопот за 3 дня, решив все проблемы водителей, лишенных прав, с помощью поддельных документов.

5. На сайте жертва сталкивается с социальной инженерией и маркетинговыми приемами. Там размещены статьи с названиями вроде «Почему сдать на права с первого раза получается только у 5%» или «Почему получение прав самостоятельно через автошколу — мучительный процесс».

6. Пользователю рассказывают, как легко и быстро купить права с гарантией. Если человек соглашается, он отправляет свои ФИО, телефон, фото и копию паспорта, но взамен ничего не получает, а его данные используются мошенниками.

7. Особенность кампании с фальшивыми водительскими правами в том, что пострадавшие сами нарушают закон, пытаясь приобрести поддельные документы, поэтому мошенники уверены, что жертвы не будут жаловаться.

8. Предоставленные персональные данные могут быть использованы для взятия кредитов, регистрации на различных платформах и других мошеннических действий.

Мобильная безопасность

Более 90 приложений в Google Play распространяли вредоносное и рекламное ПО, в том числе банковский троян Anatsa.

Anatsa — банковский троян, нацеленный на более 650 приложений финучреждений в Европе, США, Великобритании и Азии. Троян похищает учётные данные онлайн-банков для выполнения мошеннических транзакций.

По данным экспертов, Anatsa распространяется через два приложения-приманки: «PDF Reader & File Manager» и «QR Reader & File Manager». На момент анализа приложения были установлены 70 000 раз.

Anatsa использует многоэтапный механизм доставки полезной нагрузки, включающий четыре этапа:

• получение конфигурации с управляющего сервера;
• загружка и активация DEX-файла с вредоносным дроппером;
• загрузка файла полезной нагрузки Anatsa;
• установка вредоносного ПО (APK) и завершение процесса заражения.

Инциденты

Дерматологическая клиника Affiliated Dermatologists (AD) стала жертвой вымогателей BianLian.

10 апреля 2024 года руководство компании обнаружило вымогательскую записку, из которой следовало, что между 2 и 5 марта 2024 года хакеры получили доступ к системам и скопировали данные из сети клиники.

Среди украденной информации оказались:

• имена пациентов;
• даты рождения;
• адреса;
• номера социального страхования;
• медицинские карты;
• Информация о претензиях по медицинскому страхованию пациентов;
• номера водительских удостоверений и паспортов сотрудников.

Представители клиники подчеркнули, что объём утекшей информации различен для каждого пострадавшего. По данным генпрокурора, инцидент затронул около 373 000 человек.

Из Google произошла утечка 2500 внутренних документов, содержащих информацию о данных, которые она собирает при работе пользователей со своей поисковой системой.

Документы раскрывают подробности по поводу информации, которую Google отслеживает и использует в своём алгоритме ранжирования поиска.

Изучив документы, SEO-эксперты сделали вывод о «лжи Google» по поводу сбора и использования данных для ранжирования страниц по ряду признаков. Например, представители IT-гиганта неоднократно указывали на то, что компания не использует данные поисковика Chrome для ранжирования. Однако в слитых документах Chrome отдельно упоминается в разделах про то, как веб-сайты появляются в поиске.

Тем не менее, представитель Google рекомендует не торопиться с неправильными выводами о работе поискового алгоритма на основе вырванной из контекста, устаревшей или неполной информации.

Сервисы логистической компании СДЭК работают с перебоями с 26 мая.

Руководство сообщает о технических проблемах, а хакерская группировка Head Mare заявила, что взломала СДЭК, зашифровала данные и уничтожила бэкапы.

В компании заверили, что все посылки «будут бережно сохранены и выданы после устранения технических проблем», а срок хранения в ПВЗ при необходимости будет продлен.

В четверг 30 мая СДЭК начал выдачу посылок в пунктах выдачи, однако часть сервисов на сайте пока не работает.