Специалисты департамента Threat Intelligence экспертного центра безопасности Positive Technologies провели анализ криптора Crypters And Tools, который активно применяли кибергруппировки PhaseShifters, TA558 и Blind Eagle в своих атаках на организации по всему миру, включая Россию, сообщает Positive Technologies во вторник.
Исследование показало, что хакеры использовали этот инструмент для маскировки вредоносного ПО, а доступ к сервису предоставлялся по подписке (crypter as a service, CaaS).
Эксперты Positive Technologies впервые обратили внимание на Crypters And Tools во время расследования атак группировки PhaseShifters на отечественные организации в 2024 году. Хакеры использовали этот сервис для создания загрузчиков — специальных программ, которые тайно доставляют на компьютер жертвы вредоносное ПО. Криптор позволяет маскировать опасные файлы и затруднять их анализ с помощью специальных методов шифрования, упаковки и обфускации — намеренного усложнения кода.
Специалисты изучили связанные с криптором социальные сети и выяснили, что под разными названиями Crypters And Tools существует как минимум с лета 2022 года. Исследователи пришли к выводу, что разработчик вредоносного инструмента, вероятнее всего, находится в Бразилии. На это указывают фрагменты кода на португальском языке, обучающие видео автора, на которых видны его IP-адреса, а также электронные письма о выводе с криптобиржи бразильских реалов и упоминание CPF — аналога индивидуального номера налогоплательщика в Бразилии.
География атак с использованием Crypters And Tools в основном включает страны Восточной Европы, Латинской Америки, Россию и США. Например, схожие техники обфускации и вредоносное ПО использовала группировка Blind Eagle в кампаниях 2023–2024 годов, нацеленных на предприятия обрабатывающей промышленности Северной Америки. Всего с момента основания сервиса в 2022 году специалисты Positive Technologies выявили около 3000 файлов, созданных с его помощью.
Чтобы получить доступ к Crypters And Tools, необходимо оплатить подписку и войти в панель управления. Далее хакеру нужно указать в специальном поле URL-адрес с вредоносными файлами и настроить ряд параметров. Например, тип загрузчика, способ закрепления в системе, насколько сильно нужно обфусцировать код и под какой легитимный процесс замаскировать свою активность.
Проведенное Positive Technologies исследование рынка киберпреступности также указывает на рост популярности среди злоумышленников готового вредоносного ПО, такого как Crypters And Tools. Для противодействия подобным угрозам организациям следует использовать современные средства анализа сетевого трафика, защиты конечных точек и обучать сотрудников распознавать попытки атак, основанные на социальной инженерии.
