Аналитики компании Trend Micro обнаружили новый инфостилер OpcJacker, активный со второй половины 2022 года. Вредонос распространяется через вредоносную рекламу и маскируется под приложения, связанные с криптовалютой, и другой софт, включая VPN-сервисы.
«Основные функции OpcJacker включают в себя кейлоггер, создание скринштов, кражу конфиденциальных данных из браузеров, загрузку дополнительных модулей и подмену криптовалютных адресов в буфере обмена», — пишут эксперты.
Изначально OpcJacker распространялся через вредоносную рекламу и сеть фейковых сайтов, рекламирующих, казалось бы, безобидное ПО и приложения, чаще всего связанные с криптовалютой. Однако в рамках кампании, обнаруженной в феврале 2023 года, малварь стала ориентироваться на пользователей из Ирана, якобы предлагая им услуги VPN.
Файлы установщика такого «VPN-сервиса» используются для развертывания OpcJacker, который также способен загружать на устройство полезные нагрузки следующего этапа, включая NetSupport RAT и hVNC для удаленного доступа.
OpcJacker упакован с помощью криптора Babadeda, и использует файл конфигурации для активации функций для сбора данных. Так, отчет гласит, что малварь загружается путем модификации легитимной библиотеки DLL в установленном приложении, которое загружает другую вредоносную библиотеку DLL. После эта DLL собирает и запускает шелл-код (загрузчик и вредоносный исполняемый файл) и OpcJacker из фрагментов данных, хранящихся в файлах данных различных форматов, включая звуковые файлы WAV и HTML-справку Microsoft (CHM).
Кроме того, отмечается, что вредонос способен запускать на зараженном устройстве произвольный шелл-код и исполняемые файлы.
Исследователи сообщают, что также обнаружили отчет о загрузчике под названием Phobos Crypter (фактически представляющем собой то же вредоносное ПО, что и OpcJacker), который ранее применялся для загрузки вымогателя Phobos.
Хотя, по мнению экспертов, OpcJacker еще может находиться в разработке и его основная цель – хищение криптовалюты, универсальность малвари уже сейчас делает ее удобным загрузчиком для других вредоносных программ.
