В последние годы инфостилеры стали одной из самых серьезных угроз в киберпространстве, и их распространенность продолжает расти. Однако нередко сами злоумышленники становятся жертвами своих же коллег. В ходе расследования специалисты CyberArmor обнаружили любопытный случай, когда киберпреступники использовали поддельное ПО для мошенничества с USDT (Tether) не только для атак на обычных пользователей, но и для заражения друг друга.
Описание
Все началось с анализа скриншота рабочего стола, сделанного инфостилером WorldWind (также известным как StormKitty). Этот вредоносный код фиксирует активность пользователя, собирает пароли из браузеров, историю посещений и данные криптовалютных приложений. На одном из таких снимков обнаружилась папка с программой под названием FLASH USDT Senders, которую пользователь скачал незадолго до заражения. В фоне также был виден Telegram, а именно группа @cryptographytube, которая, вероятно, и стала источником распространения вредоносного ПО.
Дальнейшее расследование показало, что программа была распространена пользователем с ником Brain Box (Telegram ID 7101105223). На первый взгляд, Flash USDT Sender выглядел как инструмент для создания фейковых транзакций USDT, имитирующих подтвержденные платежи в блокчейне. Однако на самом деле это оказался дроппер - программа, скрытно загружающая другие вредоносные модули.
Анализ кода с помощью dnSpy выявил, что приложение содержит пять зашифрованных вредоносных компонентов, которые после запуска расшифровываются, сохраняются в %APPDATA% и активируются. Среди них:
- Crack.exe - RDP-граббер, который проверяет открытые порты (например, 3089), меняет пароли учетных записей и отправляет данные злоумышленникам.
- Cracked.exe - сочетает в себе функции VNC-сервера и кейлоггера, перехватывая нажатия клавиш и передавая их на сервер управления.
- Service.exe - криптоклиппер, подменяющий адреса кошельков в буфере обмена на адреса атакующих.
- Svchost.exe - тот самый инфостилер WorldWind, который собирает данные с зараженного компьютера.
На момент исследования было зафиксировано 198 систем, зараженных RDP-граббером, и 43 машины, пораженные WorldWind. География атак охватывает разные регионы, что свидетельствует о масштабности кампании.
Но самое интересное - это то, что жертвами стали сами киберпреступники. Обычно подобные инструменты, такие как фальшивые отправители USDT, используются для обмана рядовых пользователей. Однако в данном случае мошенники, занимающиеся криптомошенничеством, сами попались на удочку, скачав вредоносное ПО под видом полезного софта.
Эта история наглядно демонстрирует, насколько изощренными стали современные кибератаки. Даже опытные злоумышленники могут стать жертвами коллег, если не соблюдают базовые меры безопасности.
Чтобы минимизировать риски, эксперты рекомендуют:
- Не скачивать ПО из непроверенных источников, особенно если оно обещает «легкие деньги» или обход законных механизмов.
- Использовать двухфакторную аутентификацию для защиты учетных записей.
- Регулярно проверять системы на наличие подозрительной активности.
- Ограничивать доступ к критически важным портам (например, RDP).
В мире киберпреступности доверие - это роскошь, которой нет даже среди своих. И если даже мошенники попадаются на уловки друг друга, то обычным пользователям стоит быть еще осторожнее.
Индикаторы компрометации
