Търсене
Close this search box.

Нова кампания използва Satacom Downloader за кражба на криптовалута

Установено е, че в неотдавнашна кампания за зловреден софтуер е използван даунлоудърът Satacom като канал за внедряване на скрит зловреден софтуер, който може да извлича криптовалута, като използва измамно разширение за браузъри, базирани на Chromium.

„Основната цел на зловредния софтуер, който се пуска от Satacom downloader, е да открадне BTC от сметката на жертвата, като извършва уеб инжекции в целеви уебсайтове за криптовалута“, заявиха изследователите на Kaspersky Хаим Зигел и Олег Купреев.

Целите на кампанията включват потребители на Coinbase, Bybit, KuCoin, Huobi и Binance, намиращи се предимно в Бразилия, Алжир, Турция, Виетнам, Индонезия, Индия, Египет и Мексико.

Satacom downloader, наричан още Legion Loader, се появи за първи път през 2019 г. като дропър за следващите етапи на полезния товар, включително крадци на информация и миньори на криптовалути.

Веригите на заразяване, включващи зловредния софтуер, започват, когато потребителите, търсещи кракнат софтуер, се пренасочват към фалшиви уебсайтове, които хостват ZIP архивни файлове, съдържащи зловредния софтуер.

„За разпространението на зловредния софтуер се използват различни видове уебсайтове“, обясняват изследователите. „Някои от тях са злонамерени уебсайтове с твърдо кодирана връзка за изтегляне, докато при други бутонът „Изтегляне“ е инжектиран чрез легитимен рекламен плъгин.“

В архивния файл присъства изпълним файл, наречен „Setup.exe“, който е с размер около 5 MB, но е раздут до около 450 MB с нулеви байтове в опит да се избегне анализ и откриване.

Стартирането на бинарния файл инициира рутинната процедура на зловредния софтуер, която завършва с изпълнението на програмата за изтегляне на Satacom, която на свой ред използва DNS заявки като метод за командване и управление (C2), за да извлече URL адреса, на който се намира действителният зловреден софтуер.

Документираната от Kaspersky кампания води до скрипт на PowerShell, който изтегля добавката за браузъра от отдалечен сървър на трета страна. Той също така търси файлове с преки пътища на браузъра (.LNK) в компрометирания хост и модифицира параметъра „Target“ с флага „–load-extension“, за да стартира браузъра с изтегленото разширение.

 

Нещо повече, добавката се маскира като разширение на Google Drive и използва уеб инжекции, изпратени от сървъра C2, когато жертвата посещава един от целевите уебсайтове за криптовалути, за да манипулира съдържанието и да открадне криптовалути.

Адресът на C2 е скрит в полетата script и addr на последната транзакция с биткойн, свързана с адреса на портфейла, контролиран от извършителя, като се използва същата техника като при зловредния софтуер за ботнет Glupteba, за да се заобиколят блокадите или свалянето на домейни.

„Разширението извършва различни действия по сметката, за да я контролира дистанционно с помощта на скриптове за уеб инжектиране, и накрая разширението се опитва да изтегли валутата BTC в портфейла на авторите на заплахата“, казват изследователите.

В допълнителен опит за прикриване на дейността си зловредното разширение съдържа скриптове за прикриване на имейл потвърждението на измамната транзакция в услугите на Gmail, Hotmail и Yahoo! чрез инжектиране на HTML код.

Последица от това инжектиране е, че жертвата не знае, че е извършен незаконен трансфер към портфейла на  заплахата. Друг забележителен аспект на добавката е способността ѝ да извлича системни метаданни, бисквитки, история на браузъра, скрийншоти на отворените табове и дори да получава команди от C2 сървъра.

„Разширението може да актуализира функционалността си благодарение на използваната техника за извличане на C2 сървъра чрез последната транзакция на конкретен BTC портфейл, която може да бъде променена по всяко време чрез извършване на друга транзакция към този портфейл“, казват изследователите.

„Това позволява на киберпрестъпниците да променят URL адреса на домейна на друг, в случай че той е забранен или блокиран от антивирусните доставчици.“

Източник: The Hacker News

Подобни публикации

21 май 2024

Arm ще пусне чипове с ИИ през 2025 година

Съобщава се, че базираната в Обединеното кралство компания Arm, еди...
20 май 2024

Атака над ARRL постави радиолюбителите по света...

Американската радиорелейна лига (ARRL) предупреждава, че е претърпя...

Защита на вашите коммити от известни CVEs с Git...

Всички разработчици искат да създават сигурен и надежден софтуер. Т...
20 май 2024

Чрез GitHub и FileZilla се доставя коктейл от ...

Наблюдавана е „многостранна кампания“, при която се зло...
20 май 2024

7 бъга излезли на Pwn2Own все още чакат поправка

Редица сериозни грешки в Windows все още не са навлезли в криминалн...
20 май 2024

Китайци са арестувани за пране на 73 милиона до...

Министерството на правосъдието на САЩ повдигна обвинения на двама а...
Бъдете социални
Още по темата
20/05/2024

Защита на вашите коммити от...

Всички разработчици искат да създават сигурен...
20/05/2024

Чрез GitHub и FileZilla се ...

Наблюдавана е „многостранна кампания“, при която...
18/05/2024

Бивш лидер на OpenAI: Безоп...

Ян Лейке, който ръководеше екипа на...
Последно добавени
21/05/2024

Arm ще пусне чипове с ИИ пр...

Съобщава се, че базираната в Обединеното...
20/05/2024

Атака над ARRL постави ради...

Американската радиорелейна лига (ARRL) предупреждава, че...
20/05/2024

Защита на вашите коммити от...

Всички разработчици искат да създават сигурен...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!