С прошлого года специалисты Palo Alto отслеживают вредоносную программу-бота для Windows под названием «Blitz».
Описание
- - Цепочка заражения состоит из различных этапов: начальный дроппер, загрузчик и основной компонент ботнета.
- Palo Alto считают, что первоначальный вектор заражения - это либо игровой чит-код для недавних образцов, либо программа установки для старых образцов.
- Игровые читы с обратным доступом рекламируются на Telegram-канале оператора вредоносной программы.
- Этот агент угроз использует каталог приложений ИИ Hugging Face под названием «Spaces» для размещения вредоносных программ-ботов и выполнения командно-контрольных функций C2.
- Конечной целью, по-видимому, является установка криптовалютного майнера на компьютеры жертв.
- Отслеживая эту вредоносную программу в прошлом году, специалисты Palo Alto обнаружили новую версию, состоящую из нескольких этапов:
- Начальный файл представляет собой либо пользовательский установщик, либо игровой чит-код, который извлекает загрузчик первого этапа.
- Загрузчик первого этапа извлекает основной компонент бота «Blitz» из Hugging Face Space.
- Основной файл бота связывается с вредоносной программой C2, размещенной на том же Hugging Face Space, для отправки информации о жертве и загрузки команд или полезной нагрузки.
- Конечной целью является загрузка криптовалютного майнера XMRig на систему жертвы.
- Изначально читы были установлены для игры Standoff 2 на Android.
- Оператор вредоносной программы ведет канал в Telegram, где публикует читы для игр, которые можно скачать.
- (Рабочие) читы, используемые для бэкдора, получены из других Telegram-каналов.
- Предполагается, что читы запускаются с помощью эмулятора Windows Android BluestStacks.
- - Вредоносная программа C2 представляет собой REST API, размещенный на Hugging Face Space.
- REST API вредоносной программы разработан с помощью фреймворка FastAPI.
- Для запуска приложения FastAPI используется встроенный Docker SDK Hugging Face Space.
Индикаторы компрометации
