BOMBERuss

Все признаки указывают на то, что распространители «Прикормки» действуют по меньшей мере с 2008 года. Троян оставался незамеченным по единственной причине: его используют очень избирательно. Несмотря на почтенный возраст, он поразил всего несколько сотен машин. В 2015 году ESET обнаружил «Прикормку» на 178 компьютерах. В этом году компания заметила ещё 44 экземпляра вредоносной программы.

Троян состоит из нескольких модулей. Они дают злоумышленникам доступ к файлам жертвы, позволяют записывать нажатия на клавиши, красть пароли, делать скриншоты, перехватывать переговоры по Skype, включать микрофон и многое другое.

«Прикормка» распространяется методами прицельного фишинга. Потенциальные жертвы получают по электронной почте исполняемые файлы под видом документов, которые способны их заинтересовать. Если клюнуть на приманку, вредоносный аттач отобразит обещанный документ и установит троян.

Первый экземпляр трояна, попавшийся исследователям ESET, был замаскирован под прайс-лист с ценами на рыболовную прикормку. Именно этим объясняется его название. В последнее время, впрочем, в темах поддельных документов больше политики.

Версии «Прикормки», замеченные в Луганской и Донецкой областях, распространяются под видом информации, которая может быть интересна сторонникам ЛНР и ДНР. В качестве примера ESET приводит файлы c названиями «Нацгвардейцы со шприцами сделали из донецкого мальчика мишень для ракет.exe» и «Места дислокации ВСУ в зоне проведения АТО.scr».

Поддельные документы, выдаваемые трояном:

На западе Украины встречается украиноязычная «Прикормка». Один из заражённых файлов, замеченных ESET, называется «План ДНР на 21 липня, щодо відводу військ.exe». Судя по идентификатору «Psek» в исполняемом файле, эта версия предназначена для слежки за «Правым сектором» (в России эта организация признана экстремистской и запрещена).

Подавляющее большинство заражений, зарегистрированных специалистами ESET, сконцентрированы на востоке Украины. Кроме того, известно, что «Прикормка» следит за некоторыми украинскими чиновниками, политиками и журналистами. Около 12% жертв вредоносной программы располагаются на территории России.

ESET обнаружил несколько командных серверов «Прикормки». Почти все они размещены на территории Украины. Один из старейших серверов действует с 2008 года. Это, а также многие другие признаки, указывают на то, что троян создан в Украине.

Один из командных серверов восемь лет маскировался под сайт о Киеве:

Eset (PDF) http://www.welivesecurity.com/wp-content/uploads/2016/05/Ope...

Пост https://xakep.ru/2016/05/21/prikormka/

«При отключенных генераторах персоналу ГЭС придется активировать сброс лишней воды из хранилища. В условиях весенних паводков сброс воды в прилегающие водоемы может привести к затоплению расположенных поблизости населенных пунктов, — рассказывает Илья Карпов, эксперт Positive Technologies. — По легенде соревнования, рядом с ГЭС располагался небольшой город — он и был полностью затоплен.На следующий день, после того как жизнь в городе восстанавливалась, атаки возобновлялись, и затопление повторялось».

Один из участников команды ИБ-исследователей, осуществившей взлом, объяснил, что им удалось обнаружить оборудование, отвечающее за защиту генератора, просканировав сеть ГЭС (по легенде соревнования, злоумышленникам уже удалось проникнуть на ее территорию или действовать удаленно за счет внедренного ранее оборудования). По его словам, также был обнаружен терминал, отвечающий за защиту трансформатора, который был неоднократно атакован. Через открытый TCP-порт 102, по которому оборудование осуществляет обмен MMS-сообщениями, с помощью стандартного MMS-клиента была отправлена команда на отключение оборудования. По аналогичной схеме исследователям удалось захватить управление подстанцией на 500 кВ.

Исследователи компании Malwarebytes рассказали об очередном витке эволюции малвари. Если раньше скамеры из фейковой технической поддержки уже применяли JavaScript-трюки, чтобы заблокировать пользователя на определенном сайте, в конкретной вкладке браузера, или даже показывали пользователям фальшивый BSOD, теперь они пошли еще дальше.

Раньше, до появления шифровальщиков, большой популярностью в криминальной середе пользовались блокировщики. Такая малварь не зашифровывала файлы жертвы, но блокировала компьютер, отключала клавиатуру и мышь и не давала использовать устройство, пока пользователь не заплатит выкуп. Теперь эту тактику переняли фальшивые операторы технической поддержки.

Malwarebytes сообщает, что в комплекте с неназванным легитимным ПО, под видом рекламных приложений, распространяются интересные трояны. Как только пользователь установил нужную ему программу, в нагрузку устанавливаются и рекламные приложения, которые на самом деле, являются вредоносами. Такой троянец срабатывает не сразу, он активируется только после перезагрузки компьютера. При следующем включении ПК, жертва увидит фальшивый экран обновления Windows. Когда «процедура обновления» подойдет к концу, на экране появится сообщение, гласящее, что срок действия данного ключа продукта (Windows) истек, и теперь пользователю нужно связаться с сотрудниками поддержки Microsoft по указанному телефону.

Исследователи Malwarebytes позвонили по указанному в сообщении номеру и пообщались с оператором. Тот проинструктировал их, что нужно нажать CTRL+SHIFT+T. Это сочетание клавиш запускает TeamViewer, через который оператор фальшивого колл-центра сможет войти в систему жертвы и, предположительно, удалит троян. Довести эксперимент до конца исследователям не удалось, так как оператор отказался продолжать разговор, пока жертва не заплатит $250.

Независимый исследователь slipstream/RoL тоже наткнулся на новую малварь и провел свой эксперимент. Он утверждает, что колл-центр мошенников располагается где-то в Индии, а нажатие CTRL+SHIFT+S позволит жертве отключить блокировку экрана, но не всю блокировку системы.

Также исследователь покопался в коде вредоноса и нашел жестко закодированные «серийные номера». По данным slipstream/RoL, с их помощью можно запустить окно Windows Explorer, а затем удалить троян с устройства: «h7c9-7c67-jb», «g6r-qrp6-h2» и «yt-mq-6w». Аналитики Malwarebytes с сожалением отмечают, что эти коды срабатывают далеко не для всех версий локеров.

На заметку...

Представители гонконгской криптовалютной биржи Gatecoin, работающей с Bitcoin и платформой Ethereum, официально сообщили, что сервис стал жертвой кибератаки. Суммарный ущерб компании составил 250 биткоинов ($114 500) и 185 000 токенов Ether ($1 850 000), то есть около двух миллионов долларов.

Очевидно, подготовка к атаке была завершена в пятницу, 13 мая, ведь именно тогда злоумышленники приступили к активным действиям. Администрация биржи быстро обратила внимание на подозрительные транзакции и отключила сервис, но, как оказалось, было уже поздно.

Согласно заявлению главы Gatecoin Аурелина Менарта (Aurélien Menant), атакующие добрались до так называемого «hot wallet» — горячего кошелька компании. В этом кошельке хранились средства Gatecoin, при помощи которых транзакции осуществлялись незамедлительно, чтобы клиентам обменника не пришлось ждать, пока реальная транзакция завершится и запишется в блокчейн. Хакеры не тронули средства в «холодных кошельках» биржи, так как получить доступ к ним было гораздо труднее.

Представители Gatecoin пишут, что в ходе расследования уже изолировали адреса, который использовали атакующие, это шесть адресов биткоин и четыре Ethereum:

Ethereum:

0x04786aada9deea2150deab7b3b8911c309f5ed90

0xc062dceed93087c9112ff7b02d53e928e49cec09

0x1342a001544b8b7ae4a5d374e33114c66d78bd5f

0xd4914762f9bd566bd0882b71af5439c0476d2ff6

Bitcoin:

4a1b96b166de37860195af37b6396a0516b009536e0f332006ca61b4fab0cd08

2f41b858712149df089c21d4e1c036e0a465335c5a29be38df8e945a51e4d809

271c51ff2e6c84c565c94d79872a79d77726fccd47192b6c8f6745f7482e281a

435e0cc79372eef5f43d8d81320940165ea1a0828adab3fdb9822a17caffaf2b

d494c7ca3a03f30c121b02f558b068d3597092454ad325bc320383f070d536bc

90622fc9968b79c90a9ac26f11d13d8dd97ba5b7e9c103594873e6306f7357ea

Похищенные 2 млн долларов составляют примерно 15% всех средств Gatecoin. Хотя атака не затронула токены DigixDAO, Augur и проекты DAO, биржа по-прежнему не работает.

Компания сообщает, что уже разработала план по возмещению убытков пострадавшим пользователям и уверяет, что клиенты смогут вывести свои деньги после 28 мая 2016 года. Обо всех обновлениях и дальнейшем ходе расследования администрация Gatecoin продолжит информировать пользователей через официальный аккаунт в Twitter и станицу Reddit.