С августа 2022 года инфраструктура Vidar - стилера, то есть вредоносной программы для кражи данных с заражённых устройств, - заметно выросла. Команда, стоящая за этим инструментом, разделила серверы на две части, обновила полезную нагрузку и ускорила ротацию промежуточных узлов. Всё это указывает на подготовку к притоку новых клиентов.
Описание
Vidar впервые заметили в конце 2018 года. Сначала образец приняли за другого стилера - Arkei, но различия в коде и в способах связи с командными серверами показали, что перед нами отдельная ветка. Имя программа получила по строке, найденной внутри её кода. Схема бизнеса у Vidar простая: клиенты платят от 130 до 750 долларов в зависимости от срока подписки. За эти деньги они получают доступ к панели управления, где настраивают кампании и просматривают собранные данные. По умолчанию программа крадёт историю браузера, файлы cookie, учётные данные, криптовалютные кошельки и сведения из приложений для двухфакторной аутентификации.
По данным команды S2 Research компании Team Cymru, доступ к управляющему сайту организован необычно. Часть подключений шла через шесть VPN-шлюзов, а в последние недели их начали замещать узлы сети Tor. Миграция усложняет работу аналитиков: отличить оператора от рядового клиента почти невозможно, ведь поток выглядит одинаково для всех. Статичный характер соединений наводит на мысль о централизованной схеме, призванной скрыть всех участников.
Структура сайта тоже изменилась. Летом 2022 года операторы перенесли его на новый домен, поначалу оставив прежний цифровой сертификат. На следующий день сертификат обновили - вероятно, злоумышленники поняли, что оставили след к новому адресу. Внешне ресурс остался прежним: главная страница по-прежнему рассказывает о происхождении имени Vidar из скандинавской мифологии. Открытые разделы делятся на три части. Первая - портал для клиентов с панелью управления кампаниями. Вторая - служебная зона со скриптами для развёртывания серверов и архивом с полезной нагрузкой. Третья, по оценке исследователей, предназначена для обслуживания: при входе она требует не только логин с паролем, но и одноразовый код из приложения-аутентификатора.
Сетевые данные вокруг управляющего узла показали связи с мессенджером Telegram, облачным хранилищем Mega и площадкой Bofbot, которую сложно назвать добросовестной инвестиционной платформой. Через неё операторы, вероятно, принимают оплату или даже управляют ей сами. Все три сервиса размещаются у одного хостинг-провайдера, который ранее уже фигурировал в историях о вредоносном размещении.
Промежуточный сервер, через который проходит трафик кампаний, операторы меняют регулярно - как минимум с каждым крупным обновлением. Его адрес прописан в настройках прокси, которые клиенты получают вместе с архивом для запуска. Меняя узел, команда усложняет блокировку и затрудняет отслеживание конечных серверов управления.
Полезная нагрузка тоже обновляется. С начала 2023 года вышли три версии, последняя - 2.0 - появилась 13 января. В версии 1.8 вернулась функция перехвата форм и сбора данных кошельков для браузера Opera Crypto. Новинки сначала заметили в кампаниях операторов программ-вымогателей DJVU, где Vidar распространяли вместе с шифровальщиком. С 16 января вышла версия 2.1, и её снова впервые использовали в атаках DJVU. Помимо них, свежие сборки Vidar встречались рядом с другим вредоносным ПО, включая IcedID и Redline Stealer.
Способов доставки у Vidar много. В разное время злоумышленники применяли письма с фишинговыми приманками и "отравленные" сборки взломанного софта - например, поддельные версии AnyDesk и Windows. Для продвижения подделок использовали поисковую оптимизацию и ролики на YouTube, чтобы жертва сама скачала файл. За четыре года существования Vidar обзавёлся собственными ветками: Lumma, Mars и Oski развиваются как отдельные проекты.
Расширение серверной части и разделение узлов на клиентскую и служебную зоны говорят о зрелости проекта. Операторы одновременно прислушиваются к текущим клиентам и ищут новых, о чём свидетельствует возврат полезных функций и более частая смена прокси. Рост числа обновлений и перестройка узлов, скорее всего, продолжатся. Бизнесу стоит помнить о двухфакторной аутентификации и менеджерах паролей: стилеры вроде Vidar крадут именно эти данные. Пользователям - не скачивать взломанные программы и не доверять подозрительным ссылкам из поиска и видеороликов.
Индикаторы компрометации
