Wazawaka сжег загранпаспорт, чтобы не попасть в лапы ФБР

Wazawaka сжег загранпаспорт, чтобы не попасть в лапы ФБР

Wazawaka сжег загранпаспорт, чтобы не попасть в лапы ФБР

В ходе очередного онлайн-интервью Михаил Матвеев, он же Wazawaka, поведал, что потерял интерес к шифровальщикам, а чтобы американцы его не поймали, перестал выезжать из России и даже сжег загранпаспорт.

Репортеру TechCrunch, видимо, понравилось общаться с эпатажным россиянином, которого разыскивает ФБР. К тому же иностранцу очень хочется понять, почему собеседник живет припеваючи и в ус не дует: ведь в США против Матвеева выдвинули серьезные обвинения, включили его в санкционный список и даже готовы заплатить $10 млн за информацию, которая помогла бы его поймать и предать суду.

«Мы — русские, и американское правительство нас не страшит,— заявил молодой человек в ходе новой беседы. — После санкций моя жизнь изменилась к лучшему. Пить-есть они не просят, а только добавили безопасности».

Чтобы его поняли, молодой человек по-английски пояснил: раз он под санкциями, Россия его не депортирует. Россиянина, конечно, могут подловить и скрутить за пределами страны, поэтому с путешествиями покончено. Последний раз Wazawaka выезжал за рубеж в 2014 году, в Таиланд. Там он попробовал экзотическое блюдо — скорпиона, который оказался «просто объедением».

Выполняя свое обещание, собеседник также рассказал, как он потерял палец на левой руке. Это случилось в 2017 году, в ходе установки серверного шкафа весом 35 килограмм; поврежденный палец пришлось ампутировать.

Озвучить сумму, накопленную с помощью арендованных шифровальщиков, Матвеев отказался, заявив, что такой заработок его больше не интересует. Россиянин теперь вкладывается в криптовалюту и советует всем следовать его примеру; он также работает на сайте по кибербезопасности.

На вопрос, не жалеет ли он, что бросил хакинг, Wazawaka ответил «очень» и намекнул, что может вернуться к этому занятию, но так, что «никто об этом не узнает».

Linux-ботнет SSHStalker старомоден: C2-коммуникации только по IRC

Специалисты по киберразведке из Flare обнаружили Linux-ботнет, операторы которого отдали предпочтение надежности, а не скрытности. Для наращивания потенциала SSHStalker использует шумные SSH-сканы и 15-летние уязвимости, для C2-связи — IRC.

Новобранец пока просто растет, либо проходит обкатку: боты подключаются к командному серверу и переходят в состояние простоя. Из возможностей монетизации выявлены сбор ключей AWS, сканирование сайтов, криптомайнинг и генерация DDoS-потока.

Первичный доступ к Linux-системам ботоводам обеспечивают автоматизированные SSH-сканы и брутфорс. С этой целью на хосты с открытым портом 22 устанавливается написанный на Go сканер, замаскированный под опенсорсную утилиту Nmap.

В ходе заражения также загружаются GCC для компиляции полезной нагрузки, IRC-боты с вшитыми адресами C2 и два архивных файла, GS и bootbou. Первый обеспечивает оркестрацию, второй — персистентность и непрерывность исполнения (создает cron-задачу на ежеминутный запуск основного процесса бота и перезапускает его в случае завершения).

Чтобы повысить привилегии на скомпрометированном хосте, используются эксплойты ядра, суммарно нацеленные на 16 уязвимостей времен Linux 2.6.x (2009-2010 годы).

 

Владельцы SSHStalker — предположительно выходцы из Румынии, на это указывает ряд найденных артефактов.

Исследователи также обнаружили файл со свежими результатами SSH-сканов (около 7 тыс. прогонов, все за прошлый месяц). Большинство из них ассоциируются с ресурсами Oracle Cloud в США, Евросоюзе и странах Азиатско-Тихоокеанского региона.

RSS: Новости на портале Anti-Malware.ru