Вредоносная программа Pony, известная также под названиями Fareit и Siplog, продолжает оставаться актуальной угрозой для корпоративного и частного сектора. Этот информационный стилер (вредоносное ПО для кражи данных) впервые был обнаружен в 2011 году. С тех пор разработчики неоднократно модифицировали его, однако ключевые принципы работы остались прежними. Основными целями Pony по-прежнему остаются пользователи в Европе и Северной Америке.
Описание
Согласно обзору вредоносной программы, первая известная версия стилера датируется 1.7, а самая последняя - 2.2. Разработчики не внедряли революционных функций с момента обнаружения Microsoft. Тем не менее Pony способен красть учётные данные из криптовалютных кошельков, FTP-клиентов и автозаполнения браузеров. Одной из особенностей является отсутствие централизованной командно-контрольной инфраструктуры. Каждый злоумышленник может создать собственный сервер управления или приобрести уже настроенный. Это упрощает развёртывание атак и затрудняет их отслеживание.
Вредоносная программа состоит из двух модулей: построителя (builder) для создания исполняемых файлов и бота (bot) - конечной полезной нагрузки, написанной на языке ассемблера. Отличительная черта - отсутствие встроенного алгоритма расшифровки на стороне бота. Зашифрованные данные передаются на сервер злоумышленника, где происходит их дешифрование. Такая архитектура усложняет анализ вредоносного ПО и повышает его живучесть.
Часть известности Pony связана с утечкой исходных кодов нескольких версий загрузчика. На подпольных форумах доступны исходники версий 1.9 и 2.0. Это способствует распространению вредоносной программы и появлению новых модификаций. Несмотря на то что базовые возможности остаются неизменными, более новые версии включают ряд функций для обхода антивирусных средств. В дополнение к стандартным методам уклонения и противодействия отладке злоумышленники могут применять различные упаковщики, в том числе собственные. Такие меры затрудняют обнаружение и реверс-инжиниринг.
Методы доставки Pony разнообразны. Вредоносная программа распространяется через фишинговые электронные письма, наборы эксплойтов и отравление DNS. Кроме того, она может быть скрыта внутри бесплатных программ, маскируясь под легитимное ПО. Например, вложения писем содержат архивы Microsoft Word или JavaScript-файлы. При открытии документа Pony внедряется в систему и начинает работу. Другой сценарий - компрометация DNS-сервера другим вредоносным ПО, перенаправляющим жертву на заражённый сайт. С этого сайта Pony загружается на компьютер пользователя.
Воздействие стилера на организации и частных лиц остаётся значительным. Pony считается одним из самых распространённых информационных стилеров из-за доступности и широких возможностей. Он способен расшифровывать пароли более чем для 110 различных приложений, включая VPN, FTP, почтовые сервисы, мессенджеры и браузеры. После заражения устройство становится частью ботнета, используемого для дальнейших атак. Архитектура Pony напоминает матрёшку: конечная полезная нагрузка находится внутри многослойной упаковки, что усложняет простое обнаружение.
Хотя Pony не получил кардинально новых возможностей, его антидетекционные механизмы продолжают совершенствоваться. Новые версии включают усложнённые упаковщики и методы обхода отладчиков. Для защиты рекомендуется регулярно обновлять антивирусные базы, использовать многофакторную аутентификацию и проявлять осторожность при открытии вложений. Также следует ограничить использование автоматического заполнения форм в браузерах и применять менеджеры паролей с шифрованием. Мониторинг сетевой активности и своевременная установка обновлений для приложений снижают риск заражения.
Популярность Pony среди злоумышленников объясняется не только функциональностью, но и доступностью исходного кода. Это превращает стилер в инструмент, который могут использовать даже неопытные киберпреступники. Атаки с применением Pony фиксируются по всему миру, причём основная цель - кража конфиденциальной информации для последующей монетизации. Компании, обрабатывающие платежные данные и персональную информацию, должны уделять особое внимание защите от подобных угроз. Для организаций критически важно внедрение систем обнаружения вторжений и регулярное обучение сотрудников правилам кибергигиены.
Тринадцатилетняя история Pony демонстрирует, что даже устаревшие техники кражи данных сохраняют эффективность при правильной реализации. Отсутствие централизованного командного сервера и поддержка пользовательских упаковщиков делают стилер гибким и трудно распознаваемым. В условиях растущего числа атак с использованием информационных стилеров комплексный подход к безопасности остаётся единственным надёжным способом минимизации рисков.
Индикаторы компрометации
