Трёхслойный модульный похититель данных распространяется через поддельные сайты загрузки

Основные каналы распространения - фишинговые письма, файлы в мессенджерах и облачных хранилищах, а также поддельные страницы загрузки популярных утилит и сборников "зелёного" софта. Пользователь скачивает нужную программу и вместе с ней получает посторонний код в том же архиве. После распаковки первым срабатывает отвлекающий компонент, остальные слои подключаются следом. Порядок запуска выстроен так, чтобы защитные решения видели только фрагмент цепочки. Особенность в том, что носителем выступает сама полезная программа: человек получает работающий инструмент, а вредоносный код остаётся незамеченным до момента запуска.

Отвлекающий слой запускает несколько постоянных потоков, которые непрерывно выполняют бесполезную работу. Часть загружает процессор сложными вычислениями, часть создаёт и тут же удаляет временные файлы, часть перебирает случайные разделы реестра. Отдельные потоки открывают скрытые окна и рисуют в них случайные фигуры, запускают и закрывают системные программы, обращаются к посторонним сайтам, выполняют команды проверки диска и сети. Задача у всех одна: поднять уровень шума и растянуть время анализа. Попутно эти действия мешают защитным продуктам собирать журналы, поэтому расследование инцидента задним числом заметно усложняется. По данным Huorong Security, после такой подготовки загружается основной загрузчик, который остаётся в памяти и на диск не записывается.

Загрузчик расшифровывает собственное содержимое прямо в памяти и собирает рабочий код из фрагментов. Перед запуском он отключает три системные функции: две отвечают за проверку файлов антивирусными модулями, третья - за запись событий в журнал. В итоге проверки не срабатывают, а вредоносная активность не оставляет записей. Пять библиотек подключаются по мере необходимости, и лишь часть из них действительно используется в конкретной сборке. Основной модуль загружается в память вручную, минуя штатные механизмы операционной системы. Все изменения происходят только в оперативной памяти, поэтому при повторной загрузке системы они не сохраняются.

Третий слой начинается с проверки окружения. Программа обращается к ядру напрямую, тогда как обычные приложения идут через системные библиотеки - такой обход усложняет перехват вызовов. Затем она просматривает список модулей, загруженных в процесс, и сравнивает их с чёрным списком из 18 инструментов анализа, изолированных сред и ловушек, имитирующих рабочую машину. Совпадение хотя бы с одним пунктом приводит к немедленному завершению процесса: жертва не увидит ни сбора данных, ни передачи файлов. Проверки идут до сбора информации, поэтому программа успевает оценить обстановку и при малейших подозрениях просто не начинает работу.

Связь с оператором построена по двум схемам. Три постоянных адреса хранятся внутри программы в зашифрованном виде. Четвёртый адрес она получает в реальном времени из публичной сети Ethereum, где нужные данные записаны в смарт-контракт. Обращение к открытому узлу блокчейна выглядит как обычный запрос к внешнему сервису, поэтому блокировка по доменному имени здесь не работает. Команды и собранные файлы уходят в виде стандартных веб-запросов с подменённым заголовком узла: программа выдаёт себя за обращение к известному сайту. Управление включает шесть типов задач, от сбора дерева каталогов до копирования конкретных файлов.

Объём похищаемого велик. По команде оператора программа забирает отдельные файлы и целые каталоги, данные браузеров - историю посещений, сохранённые пароли, данные активных сессий, - а также почтовые профили, криптографические ключи и рабочие учётные данные сотрудников. Независимо от указаний сервера при каждом сеансе связи она перечисляет установленное программное обеспечение и запущенные процессы, делает снимки всех подключённых мониторов, копирует данные игровых платформ и отправляет добычу двумя зашифрованными пакетами. Отдельная угроза - закрепление в системе. Программа остаётся на компьютере надолго и способна позже получить дополнительные модули, включая удалённое управление и программы-вымогатели.

Меры предосторожности выглядят привычно, однако они по-прежнему работают. Не открывайте вложения из неожиданных писем и файлы от незнакомых отправителей в мессенджерах, не пользуйтесь сборками, активаторами и "кряками" из непроверенных источников. Держите защитное ПО включённым, обновляйте систему и браузеры, храните резервные копии важных документов отдельно от рабочей машины. Резкое замедление компьютера, постоянная загрузка процессора без видимых причин и посторонний сетевой трафик - повод провести полную проверку. Защитные решения уже распознают всю цепочку: загрузку, запуск и последующий сбор данных, поэтому попытка заражения прерывается до того, как программа доберётся до файлов.