Исследователи обнаружили образец криптора в рамках расследования атак группировки PhaseShifters на российские компании и госучреждения.
Специалисты департамента Threat Intelligence экспертного центра безопасности Positive Technologies провели анализ криптора Crypters And Tools, который активно применяли кибергруппировки PhaseShifters, TA558 и Blind Eagle в своих атаках на организации по всему миру, включая Россию. Исследование показало, что хакеры использовали этот инструмент для маскировки вредоносного ПО, а доступ к сервису предоставлялся по подписке (crypter as a service, CaaS).
Эксперты Positive Technologies впервые обратили внимание на Crypters And Tools во время расследования атак группировки PhaseShifters на отечественные организации в 2024 году. Хакеры использовали этот сервис для создания загрузчиков — специальных программ, которые тайно доставляют на компьютер жертвы вредоносное ПО. Криптор позволяет маскировать опасные файлы и затруднять их анализ с помощью специальных методов шифрования, упаковки и обфускации — намеренного усложнения кода.
Специалисты изучили связанные с криптором социальные сети и выяснили, что под разными названиями Crypters And Tools существует как минимум с лета 2022 года. Исследователи пришли к выводу, что разработчик вредоносного инструмента, вероятнее всего, находится в Бразилии. На это указывают фрагменты кода на португальском языке, обучающие видео автора, на которых видны его IP-адреса, а также электронные письма о выводе с криптобиржи бразильских реалов и упоминание CPF — аналога индивидуального номера налогоплательщика в Бразилии.
«Crypters And Tools упрощает проведение атак, маскируя загрузчики Ande Loader, которые скрываются в картинках и внедряются в легитимные процессы Windows, — уточняет Климентий Галкин, специалист группы киберразведки TI-департамента экспертного центра безопасности Positive Technologies. — Это часть тренда: рынок киберпреступности растет и подобные инструменты становятся все популярнее и доступнее».
География атак с использованием Crypters And Tools в основном включает страны Восточной Европы, Латинской Америки, Россию и США. Например, схожие техники обфускации и вредоносное ПО использовала группировка Blind Eagle в кампаниях 2023–2024 годов, нацеленных на предприятия обрабатывающей промышленности Северной Америки. Всего с момента основания сервиса в 2022 году специалисты Positive Technologies выявили около 3000 файлов, созданных с его помощью.
Чтобы получить доступ к Crypters And Tools, необходимо оплатить подписку и войти в панель управления. Далее хакеру нужно указать в специальном поле URL-адрес с вредоносными файлами и настроить ряд параметров. Например, тип загрузчика, способ закрепления в системе, насколько сильно нужно обфусцировать код и под какой легитимный процесс замаскировать свою активность.
Проведенное Positive Technologies исследование рынка киберпреступности также указывает на рост популярности среди злоумышленников готового вредоносного ПО, такого как Crypters And Tools. Для противодействия подобным угрозам организациям следует использовать современные средства анализа сетевого трафика, защиты конечных точек и обучать сотрудников распознавать попытки атак, основанные на социальной инженерии.
DeFi-протокол Kelp DAO сообщил о подозрительной cross-chain активности с rsETH и остановил контракты токена в основной сети Ethereum и нескольких L2.
Исследователи обнаружили кампанию FakeWallet, в рамках которой в App Store размещались фишинговые iOS-приложения, маскирующиеся под популярные криптокошельки.
Исследователи описали ZionSiphon - OT-вредонос, ориентированный на объекты водоочистки и опреснения в Израиле.
21 апреля в РТУ МИРЭА прошло годовое собрание Ассоциации разработчиков программных продуктов «Отечественный софт».
Исследователи из НИЯУ МИФИ разработали инновационную архитектуру нейросети MambaShield, способную сохранять высокую точность работы даже в условиях целенаправленных кибератак на обучающие выборки.
«Лаборатория Касперского» выявила новую хакерскую группу — Geo Likho: по данным портала киберразведки Kaspersky Threat Intelligence Portal, злоумышленники совершают сложные целевые атаки на российские организации из различных сфер ради кибершпионажа.
Исследователи обнаружили новую версию Android-малвари NGate, которая теперь маскируется не под банковский троян, а под модифицированное легитимное NFC-приложение HandyPay.
Французское агентство France Titres, ранее ANTS, подтвердило инцидент безопасности на портале ants.
Российский разработчик технологий кибербезопасности F6 предупредил о распространении опасного инфостилера WeedHack, замаскированного под популярные модификации для Minecraft.
ПАО «ВымпелКом» и ОАО «РЖД» совместно с разработчиком высокотехнологичных средств защиты информации, компанией «ИнфоТеКС», провели успешные пилотные испытания технологии квантового распределения ключей для организации высокозащищенной корпоративной сети.
