Один из пользователей «Двача» превратил в шоу наблюдение за людьми через веб-камеры их взломанных компьютеров, транслируя происходящее через YouTube. Трансляции двачер в течение нескольких дней организует на специальном сервисе Synchtube, комбинирующем в себе видео с YouTube, чат и систему пожертвований.
Судя по видео, он обладает доступом к нескольким сотням пользователей (большинство из России) через систему LuminosityLink, официально предназначенную для удалённого администрирования компьютерных сетей.
При помощи LuminosityLink хакер удалённо включает веб-камеры на устройствах, записывает звук с микрофона и фактически имеет полный доступ к компьютеру. В трансляциях он развлекается, открывая в браузерах пользователей гей-порно, пока те смотрят на экран, или демонстрируя страницу во «ВКонтакте», после чего в личные сообщения жертвы набегают другие двачеры.
Иногда хакер включает музыку через «ВКонтакте». В одном из случаев он таким образом специально разбудил владельца компьютера. В фоновом режиме LuminosityLink периодически делает снимки с веб-камер заражённых компьютеров, что позволяет хакеру быстро следить за интересными по его мнению жертвами,
Большинство пользователей в течение продолжительного времени, что хакер управляет компьютером на их глазах, практически никак не реагируют — по всей видимости, не понимают, что происходит. Многие просто запускают антивирус: в ряде случаев после включения «Антивируса Касперского» хакер терял доступ к компьютеру, иные просто отключают интернет.
По его словам, не все пользователи реагируют так спокойно: однажды владелец взломанного компьютера вызвал полицию. Включать антивирусы хакер поначалу не мешал, однако затем занёс ряд названий в список запрещённых к запуску программ.
Как именно был получен доступ к компьютерам, хакер не раскрывает. Зрители отмечали, что на большинстве из компьютеров была установлена программа MediaGet — бесплатная утилита для скачивания видео из интернета. В анонсе своего шоу на «Дваче» автор трансляций советует не скачивать подобные приложения: через 90% таких программ распространяются вирусы.
В течение 26 и 27 апреля хакер провёл три трансляции на своём аккаунте в YouTube (все подчищено) и Вконтакте, однако в последней трансляции заявил, что администрация видеохостинга периодически блокирует его аккаунты.
Кто ведёт трансляции, точно неизвестно: судя по времени на компьютере хакера, он живёт в часовой зоне МСК-5, хотя и мог выставить время специально. Во время стримов он несколько раз обращал особое внимание на пользователей из Белоруссии, а также говорил о «картофельном интернете».
Ряд зрителей упоминал некоего Дмитрия Шалашова: вероятно, речь идёт о хакере, в течение нескольких лет публикующем в YouTube видеообзоры специализированных утилит и различные советы по проведению атак. Голос Шалашова в этих видео похож на голос автора трансляций. На его странице во «ВКонтакте» в качестве места проживания указана Москва.
Исходные коды Banshee, программы-стилера для macOS, обнаружены онлайн. Авторы находки скопировали их и выложили на GitHub.
После утечки созданный на основе трояна сервис (MaaS, Malware-as-a-Service), по данным VXunderground, закрылся.
Платный доступ к Banshee стали активно продвигать на хакерских форумах в минувшем августе. Вредонос не очень сложен, поддерживает аппаратные платформы x86_64 и Arm64 и умеет воровать данные из браузеров, криптокошельков и сотни браузерных плагинов.
Авторы инфостилера успели снабдить его только базовой защитой — средствами противодействия запуску из-под отладчика и в виртуальной среде. Примечательно, что зловред также откатывает свое исполнение, когда в предпочтениях выставлен русский язык.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
