Обновленное вредоносное ПО CryptBot распространяется через фейковые пиратские сайты

24.02.2022

Аналитики Ahn Lab предупредили, что новая версия инфостилера CryptBot распространяется через ряд фейковых сайтов, которые предлагают бесплатные кряки для игр и ПО, пишет Хакер.

Напомню, что эта Windows-малварь существует довольно давно и ворует информацию с зараженных устройств, включая сохраненные учетные данные из браузера, файлы cookie, историю браузера, данные криптовалютных кошельков, кредитных карт, а также различные файлы.

В новой версии CryptBot авторы малвари удалили несколько старых функций, чтобы сделать свой инструмент более компактным и эффективным. Кроме того, злоумышленники постоянно обновляют управляющие серверы, сайты дропперов и само вредоносное ПО, поэтому CryptBot в настоящее время является одной из самых изменчивых угроз.

Как уже было сказано выше, теперь обновленный инфостилер распространяется через фальшивые пиратские сайты, где якобы выложены программы для взлома, генераторы ключей или другие подобные утилиты. При этом злоумышленники используют SEO, чтобы продвигать эти сайты в результатах поиска Google, тем самым обеспечивая себе стабильный приток жертв.

Вредоносные сайты постоянно обновляются, используя множество разных приманок. Также посетители этих ресурсов проходят через длинную цепочку перенаправлений, прежде чем попасть на целевую страницу, которая вообще может находиться даже на скомпрометированном легитимном сайте, используемом в атаках на отравление поисковых систем (SEO poisoning).

Кроме того, авторы малвари явно стремятся упростить ее функциональность и сделать вредоноса более легким, компактным и незаметным. По этой причине из CryptBot была удалена функциональность anti-sandbox, и осталась только проверка количества ядер ЦП, направленная на обнаружение виртуальных машин.

Также были удалены функции соединения со вторым управляющим сервером и вторая папка для кражи данных. И еще одна функция, от которой отказались авторы CryptBot, это возможность делать скриншоты и собирать данные о TXT-файлах, размещенных на рабочем столе. Похоже, эти действия были слишком рискованными, обнаруживая активность вредоноса.