✔Малварь OpcJacker маскируется под VPN-сервис - «Новости»

05 апреля 2023 789 Новости / Изображения / Самоучитель CSS / Текст / Преимущества стилей 0

«Основные функции OpcJacker включают в себя кейлоггер, создание скринштов, кражу конфиденциальных данных из браузеров, загрузку дополнительных модулей и подмену криптовалютных адресов в буфере обмена», — пишут эксперты.

Изначально OpcJacker распространялся через вредоносную рекламу и сеть фейковых сайтов, рекламирующих, казалось бы, безобидное ПО и приложения, чаще всего связанные с криптовалютой. Однако в рамках кампании, обнаруженной в феврале 2023 года, малварь стала ориентироваться на пользователей из Ирана, якобы предлагая им услуги VPN.

Фальшивый VPN-сервис

Файлы установщика такого «VPN-сервиса» используются для развертывания OpcJacker, который также способен загружать на устройство полезные нагрузки следующего этапа, включая NetSupport RAT и hVNC для удаленного доступа.

Малварь OpcJacker маскируется под VPN-сервис - «Новости»

Общая схема атаки

OpcJacker упакован с помощью криптора Babadeda, и использует файл конфигурации для активации функций для сбора данных. Так, отчет гласит, что малварь загружается путем модификации легитимной библиотеки DLL в установленном приложении, которое загружает другую вредоносную библиотеку DLL. После эта DLL собирает и запускает шелл-код (загрузчик и вредоносный исполняемый файл) и OpcJacker из фрагментов данных, хранящихся в файлах данных различных форматов, включая звуковые файлы WAV и HTML-справку Microsoft (CHM).

Кроме того, отмечается, что вредонос способен запускать на зараженном устройстве произвольный шелл-код и исполняемые файлы.

Исследователи сообщают, что также обнаружили отчет о загрузчике под названием Phobos Crypter (фактически представляющем собой то же вредоносное ПО, что и OpcJacker), который ранее применялся для загрузки вымогателя Phobos.

Хотя, по мнению экспертов, OpcJacker еще может находиться в разработке и его основная цель – хищение криптовалюты, универсальность малвари уже сейчас делает ее удобным загрузчиком для других вредоносных программ.

Аналитики компании Trend Micro обнаружили новый инфостилер OpcJacker, активный со второй половины 2022 года. Вредонос распространяется через вредоносную рекламу и маскируется под приложения, связанные с криптовалютой, и другой софт, включая VPN-сервисы. «Основные функции OpcJacker включают в себя кейлоггер, создание скринштов, кражу конфиденциальных данных из браузеров, загрузку дополнительных модулей и подмену криптовалютных адресов в буфере обмена», — пишут эксперты. Изначально OpcJacker распространялся через вредоносную рекламу и сеть фейковых сайтов, рекламирующих, казалось бы, безобидное ПО и приложения, чаще всего связанные с криптовалютой. Однако в рамках кампании, обнаруженной в феврале 2023 года, малварь стала ориентироваться на пользователей из Ирана, якобы предлагая им услуги VPN. Фальшивый VPN-сервис Файлы установщика такого «VPN-сервиса» используются для развертывания OpcJacker, который также способен загружать на устройство полезные нагрузки следующего этапа, включая NetSupport RAT и hVNC для удаленного доступа. Общая схема атаки OpcJacker упакован с помощью криптора Babadeda, и использует файл конфигурации для активации функций для сбора данных. Так, отчет гласит, что малварь загружается путем модификации легитимной библиотеки DLL в установленном приложении, которое загружает другую вредоносную библиотеку DLL. После эта DLL собирает и запускает шелл-код (загрузчик и вредоносный исполняемый файл) и OpcJacker из фрагментов данных, хранящихся в файлах данных различных форматов, включая звуковые файлы WAV и HTML-справку Microsoft (CHM). Кроме того, отмечается, что вредонос способен запускать на зараженном устройстве произвольный шелл-код и исполняемые файлы. Исследователи сообщают, что также обнаружили отчет о загрузчике под названием Phobos Crypter (фактически представляющем собой то же вредоносное ПО, что и OpcJacker), который ранее применялся для загрузки вымогателя Phobos. Хотя, по мнению экспертов, OpcJacker еще может находиться в разработке и его основная цель – хищение криптовалюты, универсальность малвари уже сейчас делает ее удобным загрузчиком для других вредоносных программ.

Цитирование статьи, картинки - фото скриншот - Rambler News Service.

Иллюстрация к статье - Яндекс. Картинки.

Есть вопросы. Напишите нам.

Общие правила поведения на сайте.