Обновленный CopperStealer ищет C2 на Pastebin, а добычу грузит в Telegram

Обновленный CopperStealer ищет C2 на Pastebin, а добычу грузит в Telegram

Обновленный CopperStealer ищет C2 на Pastebin, а добычу грузит в Telegram

Специалисты Trend Micro проанализировали новую версию CopperStealer и обнаружили, что его C2-инфраструктура сильно изменилась. Операторы вредоноса отказались от DGA и CDN-прокси и теперь размещают зашифрованный файл конфигурации на Pastebin, а IP-адреса прячут по методу fast flux. Вывод краденых данных инфостилер осуществляет через Telegram.

По данным экспертов, Windows-зловред CopperStealer применяется в атаках с конца 2019 года. Он распространяется через редиректы на пиратских сайтах по схеме PPI (pay-per-install, с платой за каждую установку). Чтобы уберечь вредоносный довесок к кряку от обнаружения, злоумышленники используют шифрование и сжатие (ZIP).

Инфостилер также умеет откатывать свое исполнение в песочнице, под отладчиком и на компьютерах, по умолчанию использующих китайский язык. Его основной задачей является кража учетных данных и куки из браузеров; в прошлом году CopperStealer живо интересовался учетками Facebook и Google с целью распространения непрошеной рекламы и устанавливал adware-расширения браузеров.

Проведенный в Trend Micro анализ показал, что обновленный зловред по-прежнему использует шелл-код в качестве точки входа и криптор на базе XOR для сокрытия полезной нагрузки второй ступени — DLL, упакованной с помощью UPX. В этот дроппер встроены два файла, сжатых с помощью 7-Zip: build.exe и shrdp.exe. Первый компонент предназначен для кражи данных из браузеров, второй — для обеспечения доступа к зараженной машине по RDP.

При запуске build.exe устанавливает свой сертификат в соответствующую папку текущего пользователя, затем извлекает из реестра Windows значение ключа MachineGuid и использует его как имя папки, в которой будут сохраняться куки и пароли, украденные из следующих браузеров:

  • Brave
  • Chrome
  • Chromium
  • Edge
  • Firefox
  • Opera
  • Яндекс.Браузер

Вредоноса также интересуют мессенджеры (Telegram, Discord, Elements), почтовые клиенты (Outlook, Thunderbird) и Steam. Всю добычу CopperStealer архивирует, запароливает и выгружает в отдельный Telegram-канал, отсылая оператору уведомление об успешном выполнении задачи.

Модуль shrdp.exe расшифровывает C2-адрес, хранящийся на Pastebin, регистрирует ID зараженной машины и периодически сигналит серверу о готовности к выполнению команд. Аккаунт Pastebin был создан в марте под именем Javalinkcrash; он содержит единственный фрагмент текста, который запрашивали 23 тыс. раз — по этой статистике можно судить о количестве заражений новой версией CopperStealer.

Из поддерживаемых задач shrdp.exe выявлены install и killme. При выполнении первой на машине создается новый скрытый аккаунт пользователя, который добавляется в группу админов и RDP.

В рамках install вредоносный компонент также отключает файрвол и проверку подлинности сетевого уровня (NLA), а затем извлекает из ресурсов и устанавливает оболочку RDP, OpenVPN, утилиту-загрузчик MiniThunderPlatform и n2n (инструмент для создания виртуальных сетей). Чтобы скрыть эти файлы от Microsoft Defender, модуль shrdp.exe добавляет всю папку в список исключений.

Задача killme предусматривает принудительное завершение запущенных процессов, удаление файлов и пользователей, совершивших вход, сброшенных или добавленных в ходе выполнения install.

Изменение командной инфраструктуры CopperStealer, по всей видимости, было вызвано подрывом прежней. В прошлом году ИБ-эксперты при поддержке крупных сервис-провайдеров провели sinkhole-операцию с целью пресечь дальнейшее распространение инфостилера, проникшего в 159 стран (в основном в Индию, Индонезию, Бразилию, Пакистан и на Филиппины).

На тот момент вредонос отыскивал C2, генерируя домены по DGA, а для сокрытия серверов злоумышленники использовали прокси-возможности Cloudflare. Теперь CopperStealer получает C2-адрес, обращаясь к странице Pastebin, а вместо CDN-прокси его хозяева применяют fast flux — подпольный DNS-сервис, позволяющий динамически перерегистрировать домены/IP и вдобавок использовать слой проксирования.

Торвальдс подтвердил: Linux Kernel 7.0 почти готов и ускорит игры

Релизы ядра Linux долгое время интересовали в основном серверных администраторов и энтузиастов. Но с ростом популярности Steam Deck, SteamOS и игровых компьютеров на Linux ситуация меняется. И грядущий Linux Kernel 7.0 как раз из тех обновлений, на которые стоит обратить внимание не только серверщикам.

Как сообщает Phoronix, новая версия ядра принесёт целый набор улучшений производительности.

Большая часть изменений по-прежнему ориентирована на серверные нагрузки, но есть и новшества, которые потенциально улучшат отзывчивость системы и игровой опыт.

Самой интересной функцией называют TIP Time Slice Extension. Она позволяет приложению временно попросить у планировщика ядра немного дополнительного процессорного времени, если в данный момент выполняется критически важная задача.

Проще говоря, если игра или аудиоприложение понимает, что его вот-вот «прервут» в самый неподходящий момент, оно может вежливо попросить: «подожди секунду, я почти закончил». В теории это должно привести к более плавной работе тяжёлых приложений, снижению фризов и, возможно, к улучшению 1% low FPS в играх. Практику, правда, покажут только реальные тесты.

Ещё одно важное изменение — новый механизм управления памятью под названием sheaves. Формально он рассчитан на серверы, но может быть полезен и на десктопах.

Многие ресурсоёмкие приложения и игры постоянно выделяют и освобождают память, что иногда приводит к скачкам задержек при высокой нагрузке на CPU. Оптимизации sheaves потенциально помогут сгладить такие пики и сделать поведение системы более стабильным.

Для серверных сценариев в Linux Kernel 7.0 тоже много интересного:

  • Open Tree Namespace ускоряет создание контейнеров в Docker, Kubernetes и микросервисах;
  • улучшения в IO_uring и zero-copy networking снижают нагрузку на CPU при высоких скоростях сети (10 Гбит/с и выше);
  • дополнительная настройка планировщика помогает веб- и базам данных ровнее переживать пиковые нагрузки.

Если всё пойдёт по плану, Ubuntu 26 LTS может получить новое ядро уже в апреле. Примерно в те же сроки ожидается Fedora 44.

Ну и да — в Linux Kernel 7.0 наконец-то можно будет менять логотип Tux при загрузке. Мелочь, а приятно.

RSS: Новости на портале Anti-Malware.ru