Специалисты Group-IB рассказали о Prometheus TDS (Traffic Direction System), сервисе, который предназначен для распространения вредоносных файлов и перенаправления пользователей на фишинговые и вредоносные сайты.

Еще весной 2021 года аналитики Group-IB обнаружили следы вредоносной кампании загрузчика Hancitor. Исследователей заинтересовал нетипичный паттерн его распространения, который впоследствии был описан командами исследователей Unit 42 и McAfee как новая техника, призванная уберечь документы с вредоносными ссылками и вложениями от внимания веб-сканеров. Однако данные, извлеченные аналитиками Group-IB, указывают на то, что аналогичная схема также используется для распространения таких вредоносных программ, как Campo Loader, IcedID, QBot, SocGholish и Buer Loader.

Эксперты выявили по меньшей мере 3000 пользователей, ставших целями разрозненных вредоносных кампаний с использованием идентичной схемы. Наиболее активные были нацелены на физических лиц в Бельгии, а также на компании, корпорации, университеты и правительственные организации в США.

Анализируя кампании по распространению различного вредоносного ПО, эксперты пришли к выводу, что они могли проводиться с использованием одного и того же MaaS-решения (Malware-as-a-Service). Это предположение подтвердилось после того, как на одной из андеграундных площадок было найдено предложение о продаже услуг сервиса Prometheus TDS.

Суть Prometheus TDS состоит в том, что сервис представляет административную панель, в которой злоумышленник настраивает необходимые параметры для кампании: загружает вредоносные файлы, настраивает ограничения по геолокации пользователей, версии браузера и операционной системы.

Чтобы потенциальные жертвы вредоносных кампаний не взаимодействовали с административной панелью напрямую (что чревато раскрытием и блокировкой сервера злоумышленника), Prometheus TDS использует сторонние зараженные сайты, которые выступают в качестве промежуточного звена. Список скомпрометированных сайтов добавляется операторами вредоносных кампаний вручную, путем импорта списка веб-шеллов.

На скомпрометированные сайты загружается специальный PHP-файл, названный Prometheus.Backdoor, который собирает и отправляет в административную панель данные о посетителе. После анализа собранных данных административная панель принимает решение о том, отдать пользователю вредоносную нагрузку или перенаправить его на заданный URL-адрес.

Когда все настроено, клиенты могут переходить  к рассылке спамерских сообщений, в тексте которых содержатся ссылки на взломанные сайты. Когда пользователи переходят по таким ссылкам, они попадают на взломанный сайт, где бэкдор Prometheus анализирует данные браузера жертвы, а затем либо перенаправляет пользователя на чистую веб-страницу, либо на страницу, где размещен вредоносный файл (в зависимости от настроек конкретной вредоносной кампании).

По данным исследователей, Prometheus рекламируется на подпольных форумах с августа 2020 года, и цена его услуг составляет от 30 долларов за два дня до 250 долларов в месяц. Как уже отмечалось выше, услугами сервиса пользуются многие авторы малвари, включая Campo Loader, IcedID, QBot, SocGholish и Buer Loader.

 

  • Подпишись на наc в Telegram!

    Только важные новости и лучшие статьи

    Подписаться

  • Подписаться
    Уведомить о
    0 комментариев
    Межтекстовые Отзывы
    Посмотреть все комментарии