Хакерите, които стоят зад зловредния софтуер Vidar, са направили промени в своята вътрешна инфраструктура, което показва, че се опитват да преработят и прикрият своите онлайн следи в отговор на публичните разкрития за начина им на действие.

„Участниците във Vidar продължават да променят своята IP инфраструктура, като предпочитат доставчици от Молдова и Русия“, казва компанията за киберсигурност Team Cymru в нов анализ, споделен с The Hacker News.

Vidar е комерсиален крадец на информация, за който се знае, че е активен от края на 2018 г. Той също така е разклонение на друг зловреден софтуер за кражба на информация, наречен Arkei, и се предлага за продажба между 130 и 750 USD в зависимост от абонаментното ниво.

Обикновено доставян чрез фишинг кампании и сайтове, рекламиращи кракнат софтуер, зловредният софтуер идва с широк набор от възможности за събиране на чувствителна информация от заразените хостове. Наблюдавано е също така, че Vidar се разпространява чрез измамни реклами в Google и зареждащ зловреден софтуер, наречен Bumblebee.

В доклад, публикуван по-рано през януари, Team Cymru отбелязва, че „операторите на Vidar са разделили инфраструктурата си на две части; едната е предназначена за редовните клиенти, а другата – за управленския екип, както и за потенциално първокласни/важни потребители“.

Ключов домейн, използван от участниците във Vidar, е my-odin[.]com, който служи като дестинация за управление на панела, удостоверяване на партньорите и споделяне на файлове на едно гише.

Докато преди беше възможно да се изтеглят файлове от сайта без удостоверяване, сега извършването на същото действие пренасочва потребителя към страница за вход. Друга промяна е свързана с актуализации на IP адреса, на който се намира самият домейн.

Това включва преместване от 186.2.166[.]15 на 5.252.179[.]201 на 5.252.176[.]49 до края на март 2023 г., като престъпниците получават достъп до последния с помощта на VPN сървъри приблизително по същото време.

„Чрез използването на VPN инфраструктура, която поне отчасти е била използвана и от множество други доброкачествени потребители, е очевидно, че участниците във Vidar може да предприемат стъпки за анонимизиране на своите управленски дейности, като се скриват в общия интернет шум“, отбелязват от Team Cymru.

Компанията за киберсигурност заяви, че е открила и изходящи връзки от 5.252.176[.]49 към легитимен уебсайт, наречен blonk[.]co, както и към хост, разположен в Русия (185.173.93[.]98:443).

Установено е, че инфраструктурата на Vidar получава още един фейслифт, който влиза в сила от 3 май 2023 г., с въвеждането на нов IP адрес 185.229.64[.]137, на който се хоства домейнът my-odin[.]com, заедно с използването на TOR ретранслатори от операторите за достъп до техните акаунти и хранилища за зловреден софтуер.

Откритията „дават допълнителна представа за „задкулисната“ работа на Vidar, демонстрирайки еволюцията на неговата инфраструктура за управление, както и доказателства за стъпките, предприети от заплахата за потенциално прикриване на следите“, заявиха от компанията.

Източник: The Hacker News

Подобни публикации

7 февруари 2025

7 стъпки към подобряване на киберустойчивостта ...

В днешно време повечето аспекти на бизнеса са цифровизирани и е от ...
7 февруари 2025

Hападателите използват открити ключове на ASP.N...

Microsoft предупреждава, че нападателите внедряват зловреден софтуе...
7 февруари 2025

Законодателите от Камарата забраняват приложени...

Двупартийно дуо в Камарата на представителите на САЩ предлага закон...
7 февруари 2025

Zimperium откри 1 000 приложения, използвани в ...

Фирмата за мобилна сигурност Zimperium е разкрила широка злонамерен...
7 февруари 2025

Astra и Invary набираха милиони за AI-Pentesti...

Тази седмица стартиращите компании за киберсигурност Astra Security...
7 февруари 2025

Хакер, атакувал НАТО и армията на САЩ, е аресту...

Испанските власти обявиха, че е арестувано лице, заподозряно като х...
Бъдете социални
Още по темата
07/02/2025

7 стъпки към подобряване на...

В днешно време повечето аспекти на...
07/02/2025

Hападателите използват откр...

Microsoft предупреждава, че нападателите внедряват зловреден...
04/02/2025

Над 700 уязвимости са изпол...

Броят на уязвимостите, за които е...
Последно добавени
07/02/2025

7 стъпки към подобряване на...

В днешно време повечето аспекти на...
07/02/2025

Hападателите използват откр...

Microsoft предупреждава, че нападателите внедряват зловреден...
07/02/2025

Законодателите от Камарата ...

Двупартийно дуо в Камарата на представителите...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!