Windows-машины атакует Kraken — новый Golang-бот в стадии разработки

Windows-машины атакует Kraken — новый Golang-бот в стадии разработки

Windows-машины атакует Kraken — новый Golang-бот в стадии разработки

Исследователи из ZeroFox предупреждают о новой угрозе — растущем Windows-ботнете Kraken, который используется пока для кражи информации, в том числе из криптокошельков. Взятый за основу вредонос с функциями бэкдора написан на Go; его код активно совершенствуется.

Эксперты обнаружили Kraken (не путать с одноименным крупным ботнетом, наводнявшим спамом почтовые ящики в 2008-2009 годах!) минувшей осенью. Анализ образцов зловреда показал, что он создан на основе исходников, выложенных на GitHub 10 октября — ботоводами или сторонним разработчиком, установить не удалось.

Распространяется новичок с помощью загрузчика SmokeLoader, притом довольно быстро. Каждый перенос командного сервера (IP-адреса меняются часто из-за постоянных доработок кода Kraken) влечет появление сотен новых ботов.

В ходе установки вредонос пытается прописаться в папке %AppData%\ — если повезет, в виде скрытого файла с безобидным именем taskhost.exe, Registry.exe или Windows Defender GEO.exe. Он также добавляет себя в список исключений Microsoft Defender, регистрируется в системе как некая сетевая служба и прописывается в реестре на автозапуск.

Функциональность новобранца вполне стандартна, но за время наблюдений много раз подвергалась корректировке; вирусописатели то вносили изменения в существующие компоненты, то опробовали новые. Последние варианты Kraken обладают следующими возможностями:

  • сбор информации о зараженной системе;
  • обеспечение постоянного присутствия;
  • выполнение шелл-команд;
  • скриншоты;
  • кража данных из программ-криптокошельков (Armory, Atomic Wallet, Bytecoin, Electrum, Ethereum, Exodus, Guarda, Jaxx Liberty, Zcash);
  • загрузка и запуск исполняемых файлов.

В некоторых сборках также был реализован брутфорс SSH, но эту функцию не использовали и быстро удалили.

Панель управления Kraken тоже постоянно дорабатывается. Текущая версия (Anubis Panel) позволяет оператору вести статистику по ботам, отдавать команды точечно или в группах, менять полезную нагрузку, просматривать историю задач и информацию о жертвах.

Из дополнительных зловредов Kraken явно отдает предпочтение RedLine Stealer. Иногда на ботнет загружаются другие инфостилеры или майнер криптовалюты; такие услуги обеспечивают ботоводам стабильный доход — по оценкам ZeroFox, порядка $3000 в месяц. Зачем им нужен сбор краденых данных, пока непонятно.

Пользователи Android чаще всего блокируют рекламу через Private DNS

Пользователи Android всё чаще отказываются от приложений и VPN для блокировки рекламы, выбирая Private DNS как самый простой и эффективный способ защиты. Опрос показал, что DNS-сервисы вроде AdGuard и Cloudflare позволяют убрать рекламу, снизить риск мошенничества и не замедлять работу смартфона.

Как выяснили исследователи, самым популярным способом блокировки рекламы стал Private DNS. Этот вариант заметно опередил все остальные.

Около 65% респондентов сообщили, что используют Private DNS, например Cloudflare 1.1.1.1 или специализированные решения вроде AdGuard DNS. Такие сервисы легко настраиваются, не требуют установки сторонних приложений и позволяют отсеивать рекламные и потенциально опасные домены на уровне запросов.

Для сравнения: менее 19% пользователей предпочитают сторонние приложения для блокировки рекламы, такие как Blokada. Совсем небольшая доля респондентов призналась, что вообще не использует никакие инструменты для защиты от рекламы.

 

Пользователи отмечают сразу несколько преимуществ DNS-подхода:

  • он не нагружает систему и не замедляет интернет, как это иногда бывает с VPN;
  • не конфликтует с сервисами вроде Android Auto;
  • помогает фильтровать не только рекламу, но и фишинговые или сомнительные сайты;
  • настраивается за пару минут прямо в системных параметрах Android.

При этом Private DNS не ограничивает доступ к сервисам и не ломает работу приложений, что для многих оказалось решающим фактором.

Помимо DNS-сервисов, пользователи активно рекомендуют браузеры с встроенной блокировкой рекламы. Среди популярных вариантов — Firefox с расширением uBlock Origin и фирменный браузер Samsung, который поддерживает контент-блокеры из коробки.

Некоторые, наоборот, выбирают отдельные приложения для блокировки рекламы. Такой подход может быть удобнее, например, в корпоративной среде, где важно, чтобы инструменты защиты корректно работали с бизнес-приложениями.

RSS: Новости на портале Anti-Malware.ru