Хакер #311. Сетевые протоколы под микроскопом
Сразу несколько исследователей сообщают, что набор эксплоитов Angler, популярнейший инструмент среди киберпреступников, по всей видимости, свернул свою деятельность. Операторы серьезных вредоносных кампаний массово переходят на эксплоит киты Neutrino, RIG и Sundown.
Вряд ли кому-то из наших постоянных читателей не знакомо название Angler. Данный эксплоит кит существует с 2013 года, постоянно адаптируется и прирастает новыми уязвимостями и багами. Angler хорошо известен в хакерской среде, так как является одним из наиболее агрессивных и эффективных механизмов проникновения на машину жертвы. Он ищет любые бреши и использует для атак HTML, JavaScript, Flash, Silverlight, Java и так далее, при этом стараясь избегать обнаружения антивирусным ПО.
Джером Сегура (Jerome Segura) эксперт компании Malwarebytes, сообщает, что с эксплоит китом Angler что-то произошло. Похоже, популярный инструмент приказал долго жить, и теперь хакеры экстренно меняют механизмы доставки малвари и переходят на использование Neutrino.
Значительный рост активности Neutrino начал демонстрировать на прошлой неделе. Так, эксплоит кит теперь распространяет шифровальщика CryptXXX и используется для вредоносной кампании EITest. Ранее всем этим занимался Angler. Также Сегура пишет, что массовая кампания по распространению вредоносной рекламы, замеченная Malwarebytes еще в мае 2016 года, по-прежнему продолжается, но злоумышленники и в этом случае перестали использовать Angler и переключились на Neutrino. Исследователь утверждает, что даже те хакеры, которые никогда не пользовались ничем, кроме Angler, тоже «изменили» любимому инструменту и перешли на другие решения.
Аналогичные наблюдения были сделаны и независимыми экспертами Бредом Дунканом (Brad Duncan), автором блога Malware Traffic Analysis, и Kaffeine, автором ресурса Malware don't need Coffee. Они тоже заметили исчезновение Angler со всех радаров. Kaffeine даже приводит точную дату: набор эксплоитов пропал из поля зрения исследователей 7 июня 2016 года.
Kaffeine пишет, что периоды неактивности случались у Angler и ранее, но обычно это означало, что у операторов набора эксплоитов отпуск или они занимаются какими-то серьезными изменениями на серверах. Но на этот раз даже GooNky, одна из крупнейших хакерских команд, которая всегда пользовалась исключительно услугами Angler и терпеливо пережидала все периоды оффлайна, перешла на Neutrino.
Еще один интересный штрих: Kaffeine провел настоящее исследование и выяснил, что недавно стоимость недельной подписки на Neutrino в даркнете возросла вдвое и теперь составляет $1500. Судя по всему, конкуренты стараются не упустить момент, ожидают приток новых покупателей и хотят заработать на бывших клиентах Angler как можно больше. Ранее авторы Neutrino уже демонстрировали похожее поведение, когда в 2013 году арестовали разработчика популярного набора эксплоитов Blackhole, и одним конкурентом стало меньше.
Всем исследователям не дает покоя новость о недавней совместной операции ФСБ и МВД России. 1 июня 2016 года, при поддержке специалистов «Лаборатории Касперского» и Сбербанка, были задержаны более 50 человек из 15 регионов России. В официальных пресс-релизах сообщалось, что все эти люди занимались разработкой банковского трояна Lurk, благодаря которому они вывели со счетов российских финансовых учреждений более 3 млрд рублей за последние пять лет.
Ранее серию массовых арестов уже пытались связать с исчезновением одного из крупнейших ботнетов мира — Necurs. Теперь исследователи выдвигают теорию о том, что, возможно, авторы Lurk были связаны с разработкой эксплоит кита, так как банкер долгое время распространялся именно посредством Angler.
Фото: fishskulls.com
