Аналитики обнаружили новую кампанию группировки Armored Likho (она же Eagle Werewolf)
❗️ В арсенале группировки появился новый набор малвари Still Toolkit, состоящий из двух компонентов:
1. Still Sync — ворует каталог tdata Telegram Desktop с данными активной сессии
Получив эти файлы, малварь может авторизоваться в аккаунте жертвы и через Telegram API выгрузить переписку, информацию о чатах и участниках, а также фотографии, документы, стикеры и прочие медиафайлы.
Для поиска tdata Still Sync проверяет стандартные каталоги Telegram, версию из Microsoft Store и, при соответствующей настройке, весь диск C:\. Если обычное чтение файлов не срабатывает, вредонос может задействовать SeBackupPrivilege, Shadow Copy или Robocopy в режиме резервного копирования.
2. Still Audio — предназначен для аудиошпионажа
Малварь анализирует сигнал, поступающий с микрофона зараженного устройства, и начинает запись только в случае обнаружения речи.
При этом скрывать использование микрофона малварь не пытается: исследованный специалистами образец IntAudio.exe прямо отображался в настройках Windows под именем Intel Audio
— Для первоначального заражения злоумышленники используют поддельное приложение, которое имитирует сервис для отправки помощи подопечным благотворительных фондов
Так, исследователи получили несколько образцов, замаскированных под приложения фондов «ЗаЩИТа», «Братское сердце» и «Защитники Отечества»
🧑💻 Этичный хакер