Поиск

Исследование, проведённое компанией ESET, говорит о том, что владельцы мобильных устройств под управлением Android всё чаще страдают от криптовалютных мошенников. Сообщается, что сейчас злоумышленники применяют несколько основных схем атак. Одна из них — создание поддельных приложений криптовалютных бирж. Такие программы предназначены для перехвата логинов и паролей: похищенные данные затем используются для кражи цифровых денег. Приложения распространяются через Google Play и другие площадки; они могут иметь высокий рейтинг и положительные отзывы. Похожая схема применяется для взлома криптовалютных кошельков. Мошенники создают фишинговые приложения-кошельки для перехвата закрытых ключей и SEED-фраз (набора слов для восстановления кошелька). В этом случае риск пользователей выше — украденный пароль от биржи можно сбросить, но, если скомпрометирован закрытый ключ, содержимое кошелька потеряно. Разумеется, киберпреступники не могли оставить без внимания аппаратные возможности современных гаджетов. В экосистеме Android растёт число вредоносных программ-майнеров, которые скрытно добывают криптовалюты в интересах злоумышленников. Для пользователей наличие таких приложений на смартфоне или планшете оборачивается перегревом устройства и быстрым расходом заряда аккумулятора. В некоторых случаях возможен даже выход батареи из строя. Наконец, ESET выделяет ещё одну группу зловредов — так называемые мобильные лжемайнеры. Их разработчики утверждают, что приложения добывают криптовалюту, но на самом деле они только показывают рекламу, на чём и зарабатывают мошенники.

В конце 2017 года несколько крупных инвесторов криптовалютных бирж Южной Кореи стали жертвами кибератак. Как полагают исследователи кибербезопасности из компании Recorded Future, за атаками стоит хакерская группировка Lazarus Group, предположительно связанная с северокорейским правительством. Как следует из подготовленного исследователями отчета, хакеры атаковали южнокорейские биржи криптовалют и их инвесторов в конце 2017 года. Кибератаки прекратились только перед новогодним выступлением Ким Чен Ына и последующей за ним трансляцией переговоров между Северной и Южной Кореей. В ходе атак хакеры использовали вредоносное ПО, ориентированное на пользователей корейского текстового редактора Hancom Hangul Word Processor. Проанализировав код вредоноса исследователи обнаружили сходство с программой Destover, использовавшейся для атак на Sony Pictures Entertainment в 2014 году. Помимо криптовалютных бирж, Lazarus также атаковали членов южнокорейского студенческого сообщества «Друзья Министерства иностранных дел».

Исследователи безопасности из компании Secureworks опубликовали отчет о деятельности хакерской группировки Lazarus, предположительно связанной с правительством КНДР. Как следует из доклада, новыми объектами хакерских атак стали сотрудники компаний, занимающихся криптовалютой. Группировка запустила новую фишинговую кампанию, замаскированную под предложение занять должность финансового директора в одной крупной криптовалютной фирмы, расположенной в Лондоне. Перейдя по ссылке в фишинговом письме, жертва заражалась вредоносным ПО, позволяющим удаленно управлять инфицированным устройством, загружать дополнительные вредоносные программы и похищать данные. Эксперты обнаружили сходство данного ПО с другими вредоносными программами, использовавшимися в ходе предыдущих кибератак Lazarus. Фишинговая кампания была обнаружена 25 октября 2017 года, однако, по мнению специалистов, хакеры работают в данном направлении по меньшей мере с 2016 года. Напомним, с мая 2017 года эксперты зафиксировали хакерские атаки по меньшей мере на три южнокорейские криптовалютные биржи. Как полагают исследователи, атаки инициированы правительством Северной Кореи для обхода экономических санкций со стороны ООН.

Исследователи безопасности из компании Forcepoint Security обнаружили новую версию трояна Quant с функционалом, позволяющим атаковать криптовалютные кошельки. По словам исследователей, неудивительно, что злоумышленники обратили внимание на криптовалюты, учитывая стремительный рост курса биткойна в текущем году. На момент написания новости стоимость одного биткойна достигла отметки в $12,6 тыс. Quant продается на русскоязычных хакерских форумах пользователем под псевдонимами MrRaiX и DamRaiX. Троян представляет собой программу-загрузчик, имеющую функцию географического таргетинга, а также загрузки и выполнения файлов .exe и .dll. В прошлом году Quant использовался злоумышленниками для распространения вредоносного ПО Locky Zepto и Pony. Как заявили эксперты, в обновленной версии вредоносного ПО добавлен ряд новых функций. В частности, в трояне появился ряд вредоносных файлов, загружаемых на зараженное устройство по умолчанию. Первый файл (bs.dll.c) позволяет похищать криптовалюту. Второй (sql.dll.c) - библиотека SQLite, необходимая для работы третьего файла zs.dll.c, позволяющего похищать учетные данные жертвы. Bs.dll.c, также известный как MBS, представляет собой библиотеку, позволяющую сканировать директорию Application Data на предмет криптовалютных кошельков, похищать обнаруженные данные и отправлять их на C&C-сервер злоумышленника. Троян атакует только offline-кошельки, поддерживающие криптовалюты Bitcoin, Terracoin, Peercoin и Primecoin. zs.dll.c (Z*Stealer) позволяет похищать учетные данные приложений и операционной системы. После завершения сканирования все украденные учетные данные передаются на C&C-сервер с помощью HTTP POST-запроса. Z*Stealer может использоваться для хищения учетных данных в сетях Wi-Fi, браузере Chrome, почтовых клиентах Outlook Express и Thunderbird. Как пояснили исследователи, описанные выше вредоносные модули можно купить и по отдельности, однако распространитель Quant мог включить их в загрузчик, чтобы оправдать сравнительно высокую стоимость вредоноса - $275. Новая версия Quant также содержит функцию спящего режима для уклонения от обнаружения антивирусами.