Подкасты от BlackMast

[BlackMAST]

Русские хакеры используют USB-червя LitterDrifter

https://t.me/BlackMASTChat

В этой статье расскажем, как русские хакеры были замечены в использовании USB-червя под названием LitterDrifter в атаках, направленных на украинские организации.

Что произошло
Check Point, в котором подробно описаны новейшие тактики Гамаредона (также известные как Aqua Blizzard, Iron Tilden, Primitive Bear, Shuckworm и Winterflounder), заклеймил группировку как участвующую в крупномасштабных кампаниях, за которыми следуют «усилия по сбору данных, направленные на конкретные цели, выбор которых вероятно, мотивировано шпионскими целями».

Особенности взлома
Червь LitterDrifter обладает двумя основными функциями: автоматическое распространение вредоносного ПО через подключенные USB-накопители, а также взаимодействие с серверами управления и контроля (C&C) злоумышленника. Также предполагается, что это развитие USB-червя на базе PowerShell, который ранее был раскрыт Symantec в июне 2023 года.

Модуль распространения, написанный на VBS, отвечает за распространение червя в виде скрытого файла на USB-накопителе вместе с ложным LNK, которому присвоены случайные имена.

«Подход Gamaredon к C&C довольно уникален, поскольку он использует домены в качестве заполнителя для циркулирующих IP-адресов, фактически используемых в качестве серверов C2», — пояснили в Check Point.

LitterDrifter также способен подключаться к командному серверу, полученному из канала Telegram. Эту тактику злоумышленник неоднократно использовал, по крайней мере, с начала года.

Фирма по кибербезопасности заявила, что она также обнаружила признаки возможного заражения за пределами Украины на основе материалов VirusTotal из США, Вьетнама, Чили, Польши, Германии и Гонконга.

 

[BlackMAST]

Русские хакеры используют фейковые сайты брендов

https://t.me/BlackMASTChat

Исследователи в области кибербезопасности пролили свет на сложную кампанию по краже информации, которая выдает себя за настоящие бренды и распространяет вредоносное ПО, такое как DanaBot и StealC. Сегодня узнаем подробнее об этих взломах.

Что произошло
Взломы, организованные русскоязычными хакерам и получившие общее кодовое название Tusk, как говорят, охватывает несколько подкампаний, использующих репутацию платформ, чтобы обманом заставить пользователей загрузить вредоносное ПО с помощью поддельных сайтов и аккаунтов социальных сетей.

«Все активные подкампании размещают начальный загрузчик на Dropbox», — заявили исследователи «Лаборатории Касперского» Эльсаид Эльрефаи и АбдулРхман Альфаифи. «Этот загрузчик отвечает за доставку дополнительных образцов вредоносного ПО на компьютер жертвы, которые в основном являются похитителями информации (DanaBot и StealC) и клипперами».

Особенности взлома
Из 19 подкампаний, выявленных на сегодняшний день, три, как сообщается, в настоящее время активны. Название «Tusk» является отсылкой к слову «Mammoth», которое злоумышленники использовали в сообщениях журнала, связанных с первоначальным загрузчиком. Стоит отметить, что mammoth — это жаргонное слово, часто используемое российскими группами электронной преступности для обозначения жертв.

Кампании также примечательны применением фишинговых тактик для обмана жертв, чтобы заставить их расстаться со своей личной и финансовой информацией, которая затем продается в даркнете или используется для получения несанкционированного доступа к их игровым аккаунтам и криптовалютным кошелькам.

Первая из трех подкампаний, известная как TidyMe, имитирует peerme[.]io с похожим сайтом, размещенным на tidyme[.]io (а также tidymeapp[.]io и tidyme[.]app), который предлагает щелкнуть, чтобы загрузить вредоносную программу для систем Windows и macOS. Исполняемый файл предоставляется из Dropbox.

Загрузчик представляет собой приложение Electron, которое при запуске предлагает жертве ввести отображаемую CAPTCHA, после чего отображается основной интерфейс приложения, в то время как два дополнительных вредоносных файла скрытно извлекаются и выполняются в фоновом режиме.

Оба вида полезной нагрузки, обнаруженные в кампании, представляют собой артефакты Hijack Loader, которые в конечном итоге запускают вариант вредоносного ПО-кральщика StealC с возможностями сбора широкого спектра информации.

 

[BlackMAST]

Сегодня рассмотрим одну фишку для анонимов, связанную с луковичной маршрутизацией Tor. Вы узнайте, как настроить автоматический запуск Tor при каждой загрузке Windows. Это позволит пускать трафик Windows через Tor. Кроме этого вы сможете работать с Tor даже когда браузер закрыт.

Запуск Tor автоматический
Для того чтобы Tor запускался по умолчанию вместе с запуском операционной системы, нужно его установить как служба Windows. Для реализации этого нам потребуется Tor Expert Bundle.

Скачивание и установка Tor Expert Bundle
Скачиваем с официального сайта Tor Expert Bundle. Не путайте с Tor Browser, который наверное у вас уже установлен. Тор Браузер позволяет анонимно серфить, а Expert Bundle — это в чистом виде Tor без браузера Firefox.

Теперь разархивируем скаченный архив. Настоятельно рекомендую извлечь архив в корневой каталог диска C:, и назвать папку не используя никаких кириллических символов. В моем примере будет использоваться папка:

C:\Tor
Установка Tor как служба Windows
В корневом каталоге левый клик на папке Tor удерживая клавишу Шифт.

В появившемся меню выбираем пункт «Открыть окно команд».

Командная строка должна быть запущена с Админ-правами! В противном случае вы увидите сообщение об ошибке.
Для установки службы в появившемся окне консоли вводим команду:

tor.exe --service install
На этом установка Tor как сервис Windows завершена.

Проверка службы Tor
Проверить работу службы Tor можно разными способами. Для начала не покидая окно консоли введем команду:

netstat -aon | findstr ":9050"
По умолчанию Тор прослушивает порт 9050. Если видите Listening, тогда все верно.

Вы также можете проверить работу службы с помощью инструмента «Службы». Для этого сочетанием клавиш Win + R вызываем окно выполнить:

В появившемся окне вводим команду:

services.msc
Полистав вы найдете службу «Tor Win32 Service». Для просмотра статуса нажмите на ней левым кликом мышки и выберите пункт «Свойства».

Можно найти «Tor Win32 Service» в списке и просмотреть ее статус, а также остановить, запустить или перезапустить службу.

Запуск и остановка службы Tor
Для запуска и остановки службы используйте команды:

tor.exe --service start
tor.exe --service stop
Тоже самое можно сделать с помощью инструмента «Службы».

Удаление службы Tor
Прежде чем удалить службу необходимо ее остановить. После остановки службы вводим команду:

tor.exe --service remove
Заключение
Вот вроде бы и все на сегодня. Теперь при каждом запуске Windows Tor будет загружаться автоматически. Удачного веб-серфинга!​