Мошенники обращаются к Nim, чтобы лучше скрывать свое вредоносное ПО

11 ноября 2022 г.

Исследователи кибербезопасности из Minerva Labs обнаружили потенциально опасный штамм вредоносного ПО, написанный на относительно новый язык программирования под названием Nim.

Команда предупредила, что все больше злоумышленников переносят свои вредоносные программы в Nim, чтобы лучше скрыть свои инструменты от антивирусных решений и групп кибербезопасности.

В данном случае исследователи Minerva впервые обнаружил IceXLoader еще в июне 2022 года, когда он считался находящимся в стадии разработки, так как многие его основные функции все еще отсутствовали. Однако сейчас зловред достиг версии 3.3.3, имеет довольно много опасных функций и уже заразил «тысячи» Windows-устройств — как дома, так и в офисе.

Криптомайнеры

Когда жертвы загружают и запускают IceXLoader (что обычно происходит после успешной фишинговой атаки), он выполняет ряд действий — от сбора метаданных о цели конечная точка (IP-адрес, имя устройства, версия ОС, информация об оборудовании и т. д.), до установки майнера криптовалюты для валюты Monero.

Monero — популярный выбор среди киберпреступников, поскольку он описывается как «монета конфиденциальности», что делает практически невозможным отслеживание отправленных токенов.

Вообще говоря, IceXLoader — это вредоносное ПО первого этапа в многоэтапной атаке. На целевую конечную точку будут переброшены дополнительные вредоносные программы в зависимости от того, что злоумышленники сочтут наиболее полезным для каждого отдельного устройства.

Кроме того, вредоносное ПО относительно хорошо скрывается. Он запутывает код, не запускается внутри эмулятора Microsoft Defender и запускает PowerShell с зашифрованным запросом, задерживая выполнение вредоносного ПО на 35 секунд. Таким образом, он также может избежать песочниц.

Исследователи обнаружили файл базы данных SQLite вредоносного ПО и обнаружили «тысячи записей жертв». Они начали оповещать этих людей, было добавлено.

Хотя первоначальная версия IceXLoader стоила 118 долларов США в даркнете, согласно данным The Register, стоимость новой версии еще неизвестна.

• Познакомьтесь с лучшими брандмауэрами прямо сейчас

Через: Реестр

---

Оригинал