Хакерите, които стоят зад зловредния софтуер Vidar, са направили промени в своята вътрешна инфраструктура, което показва, че се опитват да преработят и прикрият своите онлайн следи в отговор на публичните разкрития за начина им на действие.
„Участниците във Vidar продължават да променят своята IP инфраструктура, като предпочитат доставчици от Молдова и Русия“, казва компанията за киберсигурност Team Cymru в нов анализ, споделен с The Hacker News.
Vidar е комерсиален крадец на информация, за който се знае, че е активен от края на 2018 г. Той също така е разклонение на друг зловреден софтуер за кражба на информация, наречен Arkei, и се предлага за продажба между 130 и 750 USD в зависимост от абонаментното ниво.
Обикновено доставян чрез фишинг кампании и сайтове, рекламиращи кракнат софтуер, зловредният софтуер идва с широк набор от възможности за събиране на чувствителна информация от заразените хостове. Наблюдавано е също така, че Vidar се разпространява чрез измамни реклами в Google и зареждащ зловреден софтуер, наречен Bumblebee.
В доклад, публикуван по-рано през януари, Team Cymru отбелязва, че „операторите на Vidar са разделили инфраструктурата си на две части; едната е предназначена за редовните клиенти, а другата – за управленския екип, както и за потенциално първокласни/важни потребители“.
Ключов домейн, използван от участниците във Vidar, е my-odin[.]com, който служи като дестинация за управление на панела, удостоверяване на партньорите и споделяне на файлове на едно гише.
Докато преди беше възможно да се изтеглят файлове от сайта без удостоверяване, сега извършването на същото действие пренасочва потребителя към страница за вход. Друга промяна е свързана с актуализации на IP адреса, на който се намира самият домейн.
Това включва преместване от 186.2.166[.]15 на 5.252.179[.]201 на 5.252.176[.]49 до края на март 2023 г., като престъпниците получават достъп до последния с помощта на VPN сървъри приблизително по същото време.
„Чрез използването на VPN инфраструктура, която поне отчасти е била използвана и от множество други доброкачествени потребители, е очевидно, че участниците във Vidar може да предприемат стъпки за анонимизиране на своите управленски дейности, като се скриват в общия интернет шум“, отбелязват от Team Cymru.
Компанията за киберсигурност заяви, че е открила и изходящи връзки от 5.252.176[.]49 към легитимен уебсайт, наречен blonk[.]co, както и към хост, разположен в Русия (185.173.93[.]98:443).
Установено е, че инфраструктурата на Vidar получава още един фейслифт, който влиза в сила от 3 май 2023 г., с въвеждането на нов IP адрес 185.229.64[.]137, на който се хоства домейнът my-odin[.]com, заедно с използването на TOR ретранслатори от операторите за достъп до техните акаунти и хранилища за зловреден софтуер.
Откритията „дават допълнителна представа за „задкулисната“ работа на Vidar, демонстрирайки еволюцията на неговата инфраструктура за управление, както и доказателства за стъпките, предприети от заплахата за потенциално прикриване на следите“, заявиха от компанията.
