Лаборатория AhnLab обнаружила новую вредоносную кампанию, в которой злоумышленники используют библиотеку PyBitmessage для скрытого управления заражёнными системами. Вместо традиционных C2-серверов зловред применяет децентрализованную P2P-сеть, что затрудняет его обнаружение.
Описание
Как работает атака
Заражение начинается с исполняемого файла, который содержит два компонента:
- Майнер Monero - крадёт вычислительные ресурсы для добычи криптовалюты.
- Бэкдор на PyBitmessage - обеспечивает скрытую связь с злоумышленниками через анонимный P2P-протокол Bitmessage.
- Файлы майнера (включая config.json и idle_maintenance.exe) распаковываются в папку %Temp%, а для работы бэкдора загружается модифицированная версия PyBitmessage.
Скрытая коммуникация
PyBitmessage шифрует трафик и маскирует C2-команды среди сообщений обычных пользователей сети. Это делает его практически неотличимым от легитимного трафика.
Зловред скачивает компоненты:
- С GitHub (если доступен).
- С файлообменника (spcs.bio)
После запуска бэкдор ждёт команд, которые выполняет через PowerShell.
Вывод
Эта атака демонстрирует растущую изощрённость злоумышленников, использующих легитимные технологии для скрытого контроля. Компаниям и пользователям стоит усилить мониторинг необычной активности, особенно в корпоративных сетях.
Индикаторы компрометации
