Стилер Webrat и новый клипер прячут адреса управляющих серверов в блокчейне

Первым заметным случаем стал вымогатель Cerber, обнаруженный в начале 2016 года. Он следил за переводами между криптовалютными кошельками и составлял из них имя домена в зоне .top. Домен вёл к настоящему серверу через сеть Tor (анонимную сеть для скрытой связи). Суммы при этом возвращались отправителю. Спустя три года троян Glupteba научился читать сведения, записанные прямо в транзакцию: так передавали небольшие сообщения, например адрес сервера. Тогда же группировка RTM задействовала систему Namecoin с доменами в зоне .bit. Такие домены не подчиняются провайдерам, и блокировать их привычными методами не выходит.

Схему, которую в исследовании назвали EtherHiding, впервые применили в 2023 году. Код перестали прятать в транзакциях и начали хранить в смарт-контрактах. Взломанные сайты на WordPress незаметно загружали в браузер жертвы небольшой скрипт. Тот обращался к контракту в сети Binance Smart Chain и получал оттуда следующую часть вредоносной нагрузки. Менять её содержимое можно, не трогая сам вредонос, поэтому хранилище переживает попытки удалить заражённые файлы с сайта.

Сеть TON дала атакующим больше свободы. Здесь любой может развернуть собственный смарт-контракт и хранить в нём адрес сервера, меняя его по своему усмотрению. Домены .ton устроены как цепочка контрактов: один указывает на следующий, пока не найдётся нужная запись. Запросить домен можно через обычный веб-сервис, а открыть сайты сети TON умеет встроенный браузер Telegram. Для пользователя это удобно. Для злоумышленника тоже: трафик к разным узлам сети выглядит как рядовое обращение к легитимному сервису.

Некоторые вредоносные программы уже пользуются этой особенностью. Вредонос на языке JavaScript под названием TonResolver хранит адрес управляющего сервера в отдельном контракте и запрашивает его специальным методом. Банковский троян TrickMo пошёл дальше: на заражённом устройстве он поднимает локальный узел сети TON и отправляет команды напрямую по внутренним адресам. Соединение почти неотличимо от общения с обычными узлами TON, и время до обнаружения компрометации растёт.

Свежий пример - стилер Webrat, он же SalatStealer. Новая версия вредоноса добавила к обычным серверам управления четыре домена сети TON. Механика выглядит безобидно: контракт хранит адрес кошелька, а тот кодирует сетевой адрес нужного сервера. Вредонос обращается к открытому сервису TON, и тот отдаёт содержимое домена. Заблокировать такой канал сложнее, чем обычный домен.

Продаёт Webrat группировка NyashTeam. Лицензия стоит около 1500 рублей, оплата приходит на несколько кошельков. Часть средств затем уходит на адреса, владеющие доменами. Один кошелёк использовался до мая, после чего деньги вывели на другой. Второй работал в июне; сейчас на связанном с ним счёте лежит 5000 USDT (криптовалютный стейблкоин, привязанный к доллару). Разбор таких цепочек помогает связывать кампании между собой и находить общих заказчиков.

Второй новый образец - клипер, который перехватывает и подменяет содержимое буфера обмена. Адрес сервера он берёт из смарт-контрактов Polygon. Контракты позволяют прочитать текущий домен и заменить его новым, но менять запись вправе только администратор. Запросить домен можно бесплатно, без платы за исполнение кода. Похожей функциональностью обладают более 600 контрактов; часть из них хранит не открытый текст, а зашифрованные контейнеры. Есть основания полагать, что клипер входит в набор вредоносных программ ботнета Aeternum (сети заражённых устройств).

Блокчейн и смарт-контракты становятся для злоумышленников удобным хранилищем. Захватить или заблокировать такую инфраструктуру почти невозможно, а в случае с TON - и вовсе нельзя без ущерба для легитимных сервисов. Защитникам придётся следить за тем, как корпоративные устройства обращаются к сервисам и программным интерфейсам блокчейна. Частые запросы такого рода заслуживают проверки: за ними может стоять заражённая машина, которая ищет своего оператора.