Новый троян OverLord распространяется под видом полезных программ и получает резервные серверы из блокчейна Solana

Каналы распространения разнообразны. Это неофициальные сайты, вложения в фишинговых письмах и архивы из чатов. Иногда применяют целевой фишинг. Тогда письмо выглядит как сообщение от коллеги или партнёра. Пользователь скачивает файл, распаковывает его и запускает. В этот момент происходит заражение. OverLord написан на языке Go для 64-битных систем. Он работает как отдельный клиент удалённого управления. Программа проверяет, нет ли на устройстве другой её копии. Для этого она использует специальный признак в памяти. Однако новая копия не запускается, если другая уже работает. Такой подход помогает избежать лишних следов. Злоумышленники часто маскируют файлы под полезные утилиты. Жертва думает, что устанавливает нужное приложение. На деле она запускает вредоносный код.

После запуска OverLord читает настройки из переменных окружения. Через них он получает адреса управляющих серверов, учётные данные и параметры соединения. Затем программа по очереди пытается связаться с несколькими серверами. Связь идёт по шифрованному каналу WebSocket Secure. Это защищённый протокол обмена данными между клиентом и сервером. По данным Huorong Security Lab, OverLord также ищет резервные адреса в блокчейне Solana. Он читает записи в транзакциях и извлекает из них новые серверы. Такой механизм затрудняет блокировку управления. Если один адрес перестаёт отвечать, программа переключается на другой. Резервные адреса хранятся в децентрализованной системе. Её сложно отключить целиком. Обмен сообщениями идёт по собственному протоколу. Он помогает скрывать команды внутри обычного сетевого трафика.

Главная особенность OverLord - скрытый виртуальный рабочий стол. Технология HVNC создаёт отдельный сеанс, невидимый для пользователя. Атакующий работает в нём, а человек продолжает пользоваться своим компьютером. При этом злоумышленник видит экран, нажимает клавиши и запускает программы. Скрытый рабочий стол изолирован от обычного. Пользователь не видит курсор и окна атакующего. Злоумышленник может открывать браузер, работать с документами и запускать команды. Всё это происходит в отдельном сеансе. Для маскировки вредоносный код попадает в память браузеров. Среди целей - Chrome, Edge, Firefox и Opera. Они часто работают в фоне и не вызывают подозрений. Поэтому защитные средства долго не замечают постороннюю активность.

OverLord собирает большой объём данных. Он перехватывает нажатия клавиш, содержимое буфера обмена и заголовки активных окон. Программа включает запись с микрофона и съёмку через камеру. Она делает снимки экрана и отправляет их на сервер. Также она собирает сведения о процессах, сетевых адаптерах, имени компьютера и пользователя. Эти данные помогают атакующему выбрать следующие цели внутри сети. Клавиатурный шпион записывает нажатия и названия окон. Буфер обмена проверяется каждые две секунды. Если в скопированном тексте есть ключевые слова, срабатывает уведомление. Программа отправляет на сервер пароли, номера карт и адреса кошельков. Помимо этого, она определяет, какие приложения установлены на компьютере. Для сжатия видео OverLord использует аппаратный кодировщик NVIDIA. Он снижает нагрузку на процессор и делает слежку менее заметной. Если аппаратное кодирование недоступно, программа переходит на JPEG.

Программа закрепляется в системе через реестр и папку автозагрузки. Она прописывает себя в ключ автозапуска. После перезагрузки она снова начинает работу. Для удаления следов есть пакетный файл самоудаления. Он стирает временные компоненты после выполнения задачи. Кроме того, OverLord проверяет, не работает ли он в среде для анализа. Если программа находит признаки отладки, часть функций может не запуститься. В результате такая проверка помогает обходить песочницы. Если программа видит анализ, она может вести себя иначе. Это затрудняет работу автоматических систем обнаружения. Ручной анализ требует времени и опыта.

Риски для пользователя включают кражу паролей, документов, переписок и платёжных данных. Через камеру и микрофон возможна длительная слежка в частной обстановке. Отдельное внимание уделено владельцам криптовалют. Резервные адреса в блокчейне Solana указывают на интерес к цифровым активам. После заражения злоумышленник может установить программы-вымогатели или средства для скрытой добычи криптовалюты. Следовательно, для компании это означает утечку коммерческой тайны и простой сотрудников. Обычному пользователю трудно заметить и удалить OverLord вручную. Для бизнеса это риск утечки клиентских данных. Для госсектора - риск доступа к служебной переписке. Для обычного пользователя - кража денег и шантаж. Если злоумышленник получает контроль над одним компьютером, он может атаковать другие устройства в сети.

Антивирусные средства уже обнаруживают и блокируют этот троян. Пользователям стоит скачивать программы только с официальных сайтов. Не следует открывать вложения от неизвестных отправителей. Важно регулярно обновлять операционную систему и антивирусные базы. Двухфакторная аутентификация снижает ущерб от кражи паролей. Резервные копии документов помогут восстановить данные после атаки. Организациям полезно ограничить запуск сторонних программ на рабочих компьютерах. Кроме того, сотрудникам стоит проверять права доступа к общим папкам. Менеджер паролей помогает не хранить данные в браузере. Резервные копии нужно держать отдельно от основной системы. Регулярный аудит автозагрузки выявляет лишние записи.

Схема OverLord сочетает несколько методов обхода защиты. Злоумышленники используют блокчейн, скрытые рабочие столы и популярные браузеры. Такое сочетание усложняет обнаружение и блокировку. Защита требует технических средств и внимательности пользователей. Чем раньше компания замечает аномалии, тем меньше ущерб от проникновения. Раннее обнаружение также помогает ограничить кражу данных.