Сложный вредоносный фреймворк Winos участвует в новой кампании, нацеленной на геймеров. Чтобы подцепить любителей видеоигр на крючок, Winos подсовывается под видом различных софтовых оптимизаторов и ускорителей.
О новых атаках специалисты Fortinet FortiGuard Labs рассказывают в недавно опубликованном отчёте:
«Winos 4.0 представляет собой сложный вредоносный фреймворк с богатым набором функциональных возможностей и стабильной архитектурой. Авторы вредоноса взяли за основу Gh0st RAT, поэтому Winos 4.0 включает несколько модульных компонентов, каждый из которых выполняет свою функцию».
Операторы распространяют зловред через различные социальные сети и мессенджеры, в числе которых есть Telegram. Как только пользователь запустит полученное приложение, вредонос попытается получить файл в формате BMP с удалённого сервера — ad59t82g[.]com. Далее этот файл декодируется в DLL.
Задача библиотеки — обеспечить среду для выполнения Winos, что включает скачивание трёх файлов (тянутся с того же сервера): t3d.tmp, t4d.tmp и t5d.tmp. Первые два распаковываются для извлечения исполняшки u72kOdQ.exe и ещё трёх DLL, среди которых можно обнаружить libcef.dll.
Вредонос по TCP связывается с командным сервером, расположенным по адресу 202.79.173[.]4, и получает ещё одну DLL.
На заражённом устройстве Winos может собирать системную информацию, копировать содержимое буфера обмена, извлекать данные криптовалютных кошельков.
