Клипер Laplas скрывает подмену криптокошелька, используя схожий адрес

Клипер Laplas скрывает подмену криптокошелька, используя схожий адрес

Клипер Laplas скрывает подмену криптокошелька, используя схожий адрес

В интернете объявился новый вредонос, нацеленный на кражу криптовалюты путем подмены кошельков в буфере обмена Windows. Проведенный в Cyble анализ вывил существенное отличие Laplas от аналогов: он не является аддоном к инфостилеру или RAT-трояну, а выполнен как полнофункциональный инструмент с собственной панелью управления.

Новый клипер доступен по подписке и активно продвигается в даркнете, в том числе на русскоязычных форумах. Зафиксированы случаи распространения Laplas с помощью Smoke Loader, при этом на машину жертвы также загружаются инфостилер Raccoon 2.0 и многофункциональный прокси-бот SystemBC, позволяющий скрыть вредоносный трафик.

Примечательна еще одна особенность новобранца: он при подмене использует визуально похожий адрес кошелька, сгенерированный на C2-сервере. Подобная попытка скрыть подлог вызвана тем, что при проведении криптовалютных транзакций многие пользователи стали проверять копипаст сравнением (обычно по нескольким знакам в трудной для запоминания строке).

В рекламных постах на подпольных форумах утверждается, что подменные адреса кошельков создаются за доли секунды. Они хранятся в базе данных три дня, но оператору предоставляется возможность отправить ключи доступа в Telegram, чтобы воспользоваться им позже. На тот же Telegram-аккаунт можно в реальном времени получать уведомления о действиях резидентных Laplas.

 

Каким образом злоумышленникам удается создавать адреса кошельков, способные ввести в заблуждение жертву, пока не установлено. В BleepingComputer попытались поэкспериментировать, но добились сходства за пять секунд — это явно дольше, чем среднестатистический пользователь тратит на копипаст при вводе, и может вызвать подозрение.

Не исключено, что злоумышленники заранее генерируют большое количество адресов, и вредонос потом выбирает нужный из списка (идентификация осуществляется с использованием регулярных выражений). Тестирование в Cyble показало, что адрес Bitcoin-кошелька, который Laplas получает с C2-сервера, содержит первую и последнюю пару знаков строки, скопированной в буфер обмена. В случае с кошельком Ethereum никакого сходства с оригиналом не наблюдалось.

При исполнении новоявленный клипер загружает в память основной модуль build.exe. Затем он копирует себя в %Appdata% и добавляет запланированное задание на ежеминутный запуск в течение 416 дней. Зловред также загружает со своего сервера regex-шаблон и начинает отслеживать использование буфера обмена, чтобы улучить удобный момент для подмены криптокошелька.

Список кошельков, поддерживаемых Laplas, внушителен; он также включает ссылки на обмен в Steam (Trade URL).

 

С 20 октября эксперты Cyble выявили около 200 семплов нового клипера; к ноябрю дневная норма таких находок резко увеличилась.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RED Security прогнозирует на февраль новую волну кибератак

Компания RED Security, опираясь на данные мониторинга хакерской активности, предупреждает о возможном росте числа кибератак на российские компании в феврале 2025 года.

Эксперты отмечают, что политически мотивированные хактивисты традиционно активизируются в феврале и мае, что подтверждают данные предыдущих лет.

Так, в феврале 2024 года количество кибератак превысило медианный показатель в 10 тысяч инцидентов на 21%. При этом число атак, приведших к ущербу свыше 1 млн рублей, увеличилось на 10% относительно среднего уровня. Аналогичные тенденции фиксировались и в 2023 году.

Наибольшее количество атак в феврале 2024 года пришлось на промышленность, которая стала целью половины всех зарегистрированных инцидентов. Уровень угроз в этом секторе превысил средний показатель на 64%.

Второе место заняли розничная торговля и электронная коммерция, на долю которых пришлось 18% атак. В RED Security подчеркивают, что эта отрасль продолжает оставаться одной из главных мишеней наиболее опасных кибергруппировок.

Существенный рост атак в феврале прошлого года также был зафиксирован в сфере СМИ и медиа. Их доля в общем числе инцидентов достигла 15%, что значительно выше привычного уровня, не превышавшего 5%. Несмотря на резкий всплеск в феврале, по итогам 2024 года этот сектор не вошел в топ-5 самых атакуемых отраслей.

Среди наиболее распространённых инцидентов в информационной безопасности в феврале 2024 года отмечены попытки обхода систем защиты (32%), сетевые атаки (21%), заражения вредоносным ПО (15%) и нарушения сотрудниками политик безопасности, включая переходы по фишинговым ссылкам (14%).

Технический руководитель направления RED Security SOC Ильназ Гатауллин отмечает, что российским компаниям в феврале 2025 года стоит ожидать усиления кибератак, особенно в таких отраслях, как промышленность, СМИ и критическая информационная инфраструктура.

По его словам, минимизация рисков возможна за счёт базовых мер, включая инвентаризацию ИТ-активов, устранение уязвимостей на ИТ-периметре, выявление аномалий в событиях инфраструктуры и обеспечение круглосуточного мониторинга информационной безопасности с участием дежурных смен.

Гатауллин подчеркнул, что даже базовые меры способны значительно сократить количество успешных атак.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru