Китайские трояны атакуют Github и SEO

Китайские интернет-пользователи столкнулись с необычно активной волной кибератак при попытках скачать популярные браузеры и мессенджеры. Специалисты в области информационной безопасности, в частности из Fortinet FortiGuard Labs и Zscaler ThreatLabz, обнаружили целую серию атак, в ходе которых на устройства пользователей незаметно устанавливается вредоносное ПО, способное предоставлять злоумышленникам полный удалённый доступ к заражённым компьютерам.

Fortinet рассказали о новой тактике: злоумышленники размещали фальшивые страницы с загрузками известных программ — DeepL Translate, Google Chrome, Signal, Telegram, WhatsApp и WPS Office. Эти ресурсы создавались на доменах, похожих на официальные, чтобы ввести в заблуждение невнимательных пользователей. Затем киберпреступники намеренно поднимали эти сайты в поисковой выдаче (метод называется SEO-подмена), используя специальные плагины. Пользователь попадает на такую страницу, скачивает программу — и вместе с ней устанавливает Remote Access Trojan (RAT) — шпионскую программу типа HiddenGh0st или Winos, оба являются разновидностями печально известного Gh0st RAT.

Параллельно команда Zscaler зафиксировала распространение нового до сих пор неизвестного трояна — kkRAT. Эта атака началась в мае текущего года, и помимо kkRAT через те же методы распространялись и Winos, и FatalRAT. Как говорит Zscaler, по коду kkRAT очень похож на своих «праотцов» Gh0st RAT и Big Bad Wolf, но использует дополнительные методы шифрования после сжатия данных. Среди возможностей — перехват буфера обмена (например, для подмены криптокошельков при переводах), внедрение ПО для удаленного мониторинга (Sunlogin, GotoHTTP).

Особая «фишка» kkRAT в том, что перед началом вредоносных действий он способен остановить работу антивирусных программ (360 Internet Security, 360 Total Security, HeroBravo System Diagnostics и других), чтобы скрывать свой след.

Главное отличие: если Fortinet обнаружил «поддельные» сайты на самостоятельных доменах, то в случае атак с kkRAT и FatalRAT мошенники использовали сервис GitHub Pages — то есть раскручивали доверенную среди разработчиков площадку для распространения вредоноса. Аккаунт-источник уже заблокирован, но попытки повторной атаки не исключаются.

Подобные кампании показывают, что даже популярные платформы не застрахованы от злонамеренных действий, а пользователям необходимо предельное внимание при загрузке софта: проверять адрес сайта, избегать подозрительно высоких позиций в поисковой выдаче и не надеяться целиком на известность сервиса.