Исследователи Avast Threat Labs представители отчет о крипторе OnionCrypter, который с 2016 года широко используется многими семействами малвари, включая Ursnif, Lokibot, Zeus, AgentTesla и Smokeloader. Он помогает скрывать вредоносные части кода с помощью шифрования, чтобы затруднить его обнаружение и анализ.
По данным компании, за последние три года Avast защитила почти 400 000 пользователей по всему миру от малвари, использовавшей этот криптор. Диаграмма ниже показывает, какие семейства малвари, использующие OnionCrypter, уже были обнаружены Avast.
Эксперты пишут, что устройство современной малвари очень похоже на строение автомобиля: она тоже состоит из множества деталей. Только вместо двигателя, колес и руля у таких программ есть загрузчик, полезная нагрузка и командный модуль.
Одной из таких «деталей» часто выступает криптор, который помогает скрыть вредоносные части кода с помощью шифрования, и в итоге код может на первый взгляд показаться безвредным, и его будет сложнее прочитать. Для разработчиков малвари криптор — важный инструмент для противодействия защите. В то же время для исследователей обнаружение криптора позволяет быстрее находить и идентифицировать новое вредоносное ПО, которое его содержит.
Название OnionCrypter никак не связано с Tor (сетью или браузером) и является отсылкой к обычному луку: криптор, как и лук, состоит из множества слоев шифрования, защищающих информацию от исследователей, антивирусов и решений безопасности. Именно эта многослойность делает OnionCrypter весьма необычным.
Как видно на иллюстрации ниже, архитектура OnionCrypter сложна и состоит из трех слоев. В отчете компании каждому из них посвящен отдельный и подробный раздел.
Учитывая достаточно долгое время использования и распространенность OnionCrypter, эксперты пришли к выводу, что разработчики продают его в качестве услуги. Кроме того, похоже, создатели OnionCrypter предлагают покупателям специальную настройку, чтобы сделать его еще менее заметным. В рекламе на хакерских форумах OnionCrypter часто называют «совершенно незаметным».
Теперь информация, полученная исследователями Avast, значительно упростит задачу по обнаружению OnionCrypter и любого вредоносного ПО, которое его использует.
