EvilExtractor: скриптовый Windows-стилер с функциями вымогателя

EvilExtractor: скриптовый Windows-стилер с функциями вымогателя

EvilExtractor: скриптовый Windows-стилер с функциями вымогателя

Эксперты Fortinet фиксируют рост количества имейл-атак, нацеленных на засев EvilExtractor — модульного инфостилера для Windows, доступного в даркнете. По словам продавца (некто Kodex), инструмент был создан в образовательных целях, однако наблюдения показали, что его с февраля активно используют для кражи данных.

Первая реклама EvilExtractor появилась на хакерском форуме Cracked в октябре прошлого года. Связанная с ним вредоносная активность, по данным аналитиков, резко повысилась в марте; наибольшее количество заражений было зафиксировано в Европе и Америке.

В предпоследний день марта злоумышленники провели масштабную имейл-рассылку. Поддельные письма имитировали запрос на подтверждение аккаунта и содержали вложенный архив с исполняемым файлом, замаскированным под документ PDF.

 

Анализ показал, что Account_Info.exe представляет собой Python-программу, упакованную с помощью PyInstaller. Кроме нее, был обнаружен загрузчик на .NET, используемый для извлечения основного кода EvilExtractor — закодированного по Base64 скрипта PowerShell, состоящего из модулей со следующими функциями:

  • проверка даты и времени;
  • противодействие запуску в песочнице;
  • анти-ВМ;
  • выявление антивирусных сканеров;
  • настройка FTP-сервера;
  • кража данных;
  • вывод краденого;
  • очистка журнала.

При запуске вредонос проверяет системное время, наличие опасных для него продуктов (по списку из 187 имен) и имя хоста. Обнаружив враждебное окружение, EvilExtractor завершает свой процесс. При отсутствии угрозы раскрытия он загружает со своего сайта три дополнительных Python-компонента (обфусцированы с использованием PyArmor): KK2023.zip, Confirm.zip, и MnMs.zip.

Первый ворует куки из Google Chrome, Microsoft Edge, Opera и Firefox, а также историю и сохраненные пароли из браузеров более широкого спектра. Второй модуль представляет собой кейлогер, третий работает с веб-камерой: включает ее, захватывает видео или изображения и выгружает файлы на FTP-сервер, арендуемый Kodex.

Зловред также ворует документы и файлы мультимедиа с рабочего стола и из Загрузок, делает снимки экрана и отправляет все краденые данные оператору. В .NET-загрузчике скрыт еще один модуль — скрипт PowerShell, загружающий с сайта evilextractor[.]com примитивную вымогательскую программу (zzyy.zip с исполняемым файлом 7za.exe).

Данный вредонос не шифрует файлы, а архивирует их и запароливает, а затем создает короткую записку с требованием выкупа.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Вышла бесплатная российская служба каталогов Avanpost DS Public от Аванпост

Российский вендор «Аванпост» представляет расширенную линейку полностью российской службы каталогов Avanpost DS. Решение имеет две редакции: бесплатную – Avanpost DS Public – для компаний с небольшой корпоративной инфраструктурой и промышленную – Avanpost DS Pro.

Avanpost DS Public поможет компаниям с небольшой корпоративной инфраструктурой в пределах одного домена отказаться от использования нелегитимного зарубежного ПО и обеспечить безопасность и управляемость ИТ-среды.

В крупных компаниях Avanpost DS Public может использоваться выделенных филиалах, как основная служба каталогов, а также в локальных инфраструктурах для решения различных технологических задач. Avanpost DS Public позволяет управлять 1000 объектами, 200 учетными записями и имеет гарантированную техподдержку ПО на протяжении всего жизненного цикла продукта. Avanpost DS Public готова к масштабированию на расширенную, профессиональную версию, что обеспечивает возможность плавного перехода без повторной инсталляции и настройки. 

В Pro-редакции службы каталогов возможно построение леса доменов по аналогии с MS AD, а также установление доверительных отношений с множеством внешних доменов. Продукт успешно прошел длительное и интенсивное нагрузочное тестирование в промышленных средах. В результате она показала лучшую производительность по сравнению с MS AD при работе с масштабами до 30 миллионов.

«Мы в «Аванпост» стремимся к тому, чтобы как можно большее число российских компаний получило доступ к надежному высокопроизводительному решению для управления корпоративной инфраструктурой. Сейчас мы анонсируем сразу две версии службы каталогов для разных моделей потребления: Avanpost DS Public и Avanpost DS Pro. В них учтены требования современного рынка, и решения готовы к использованию «из коробки»», — рассказала Алина Куракина, Генеральный директор Avanpost.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru