Kaspersky GReAT: на торрент-трекерах под видом «Одиссеи» и других популярных фильмов распространяется вредоносное ПО

17 сентября. / КИБЕР МЕДИА /. Эксперты Kaspersky GReAT обнаружили новую многоэтапную вредоносную кампанию. Она продолжается как минимум с середины августа и затрагивает как частных пользователей, так и организации. Через скомпрометированные торрент-трекеры под видом популярных фильмов, в том числе «Одиссеи», распространяется ранее неизвестное вредоносное ПО. Жертвами кампании могли стать как минимум несколько сотен пользователей и организаций в разных странах. По данным телеметрии «Лаборатории Касперского», наибольшее число потенциальных жертв зафиксировано в России. Кампания также затронула пользователей и организации в Турции, Японии, Кении, Уганде, Колумбии, Испании, Нидерландах, Бельгии, Германии и других странах. В числе отраслей, где фиксировались попытки заражения, — ИТ, консалтинг, розничная торговля, транспорт и сельское хозяйство.

Многоэтапная атака. На начальном этапе вредоносное ПО использует загрузчик, способный обнаруживать так называемые «песочницы» — изолированные тестовые среды, в которых защитные продукты проводят безопасный анализ подозрительных файлов. Благодаря загрузчику зловред умеет определять, попал ли он в такую песочницу. Если да, он может избежать обнаружения или затруднить дальнейший анализ.

Как только вредоносное ПО активируется на устройстве жертвы, оно развёртывает дополнительные модули, расширяющие его возможности. Эти модули позволяют ему сохраняться в системе даже если его удалить, обходить систему контроля учётных записей пользователей (UAC) для получения прав администратора в Windows без появления стандартного предупреждения и, в конечном итоге, открывать удалённый доступ к скомпрометированному устройству.

Для получения адреса своего управляющего сервера вредоносное ПО использует блокчейн-сеть Solana. Это позволяет злоумышленникам сохранять контроль над своей инфраструктурой, в результате атаку гораздо сложнее заблокировать.

«Особенность этой кампании — в сочетании распространённой приманки и сложной технической реализации. Маскируя вредоносное ПО под торренты с популярными фильмами, злоумышленники повышают вероятность того, что пользователи его скачают. После запуска зловред способен уклоняться от обнаружения, закрепляться в системе и предоставлять атакующим удалённый доступ к заражённому устройству.
Пользователям следует с особой осторожностью относиться к файлам из неофициальных источников: даже внешне безобидный развлекательный контент может использоваться для взлома устройства», — комментирует Павел Черёмушкин, старший эксперт по безопасности Kaspersky GReAT.

Защитные решения «Лаборатории Касперского» детектируют и блокируют это вредоносное ПО. Полный технический анализ доступен на securelist.ru.