✔Правоохранители очистили 15 000 сайтов, зараженных SocGholish - «Новости»

В рамках операции Endgame правоохранители очистили от малвари почти 15 000 взломанных WordPress-сайтов и отключили более сотни серверов, связанных с ботнетом SocGholish и группировкой Evil Corp. На этот раз целью международной операции Endgame, направленной против киберпреступной инфраструктуры, стал загрузчик SocGholish (также известный под названиями FakeUpdates и GhoLoader), который много лет использовался для распространения малвари и проведения вымогательских атак. В операции приняли участие правоохранительные органы Нидерландов, Канады, США и Германии при поддержке Европола и Евроюста. В общей сложности специалисты очистили 14 971 зараженный WordPress-сайт и отключили 106 серверов и доменов, которые использовали хакеры. Основную работу по очистке сайтов от заражений взяли на себя голландские специалисты. Они удаляли с зараженных ресурсов вредоносный код и бэкдоры, а также рекомендовали владельцам сайтов сменить учетные данные, включить многофакторную аутентификацию, удалить подозрительные учетные записи и убедиться, что CMS обновлена до последней версии. «Мы лишаем преступников доступа к зараженным системам, и это предотвращает дальнейший ущерб для граждан, компаний и организаций по всему миру, а также ограничивает распространение вредоносного ПО», — комментирует представитель Национального подразделения по борьбе с высокотехнологичными преступлениями Нидерландов Майкел Роллман (Maikel Rollman). По данным исследователей, малварь SocGholish активна как минимум с 2017 года. Обычно атаки с использованием этого вредоноса выглядят следующим образом: злоумышленники взламывают сайты (чаще всего работающие под управлением WordPress) и внедряют в их код вредоносный jаvascript. В итоге посетители этих ресурсов видят фальшивые предупреждения о необходимости обновить браузер. Если пользователь устанавливает такое «обновление», на устройство жертвы загружается малварь, а атакующие получают удаленный доступ к системе. Ранее посредством SocGholish распространялись такие семейства малвари, как Dridex, DoppelPaymer, Empire, Koadic, Chtonic и Azorult. Кроме того, исследователи уже давно связывают эту активность с группировкой Evil Corp, которая активна с 2007 года и известна использованием малвари Zeus и Dridex, а также связана с вымогательскими операциями WastedLocker, Hades, Macaw Locker и Phoenix CryptoLocker. Напомним, что в прошлом году в рамках операции «Эндшпиль» были отключены более 1000 серверов, связанных с Rhadamanthys, VenomRAT и Elysium. Также в прошлые годы операция затрагивала инфраструктуру SmokeLoader, DanaBot, IcedID, Pikabot, Trickbot, Bumblebee, SystemBC и ряда других вредоносных проектов.