Браузеры под колпаком Кремля
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Исследователи Elastic Security Labs обнаружили новую кампанию бразильского банковского вредоносного ПО, получившую обозначение REF9334. По данным специалистов, атака продолжается как минимум с мая 2025 года и направлена прежде всего на пользователей банковских сервисов в Бразилии.
Злоумышленники распространяют поддельные банковские документы, счета и деловые файлы. Пользователь открывает такой документ, запускает вредоносную программу и фактически сам впускает атакующих в компьютер. Затем программа устанавливает опасное расширение в браузерах Google Chrome и Microsoft Edge.
Исследователи назвали вредоносную программу Kremlin. Она способна красть сохранённые в браузере учётные данные, cookies — небольшие файлы, в которых сайты хранят сведения о входе и настройках, — а также токены и информацию об активных сессиях. Благодаря этому преступники могут попытаться получить доступ к уже авторизованным аккаунтам без повторного ввода пароля.
Kremlin также отслеживает действия пользователя в браузере, делает снимки экрана и собирает сведения с посещаемых сайтов. Главная цель кампании — данные клиентов бразильских банков, однако сама техника опасна для любого пользователя, который хранит пароли и работает с важными сервисами через Chrome или Edge.
Вредоносное ПО старается не попасться исследователям и сохраняться в системе как можно дольше. Сначала оно проверяет, не запущено ли в изолированной среде — песочнице, которую специалисты используют для анализа вирусов. Если программа понимает, что находится в песочнице, она прекращает работу. На обычном компьютере она устанавливает расширение под названием «AVSync System Inc.», маскируя его под защитный антивирусный компонент.
Для связи с заражёнными устройствами операторы не используют один постоянный командный сервер. Вместо этого вредоносная программа сохраняет информацию в блокчейне Ethereum. Такой подход усложняет блокировку инфраструктуры: данные распределены, а привычный сервер, который можно отключить, отсутствует.
Во время расследования специалисты Elastic получили контроль над доменом, который использовало вредоносное ПО. Это позволило установить, что заражению подверглись 1515 систем. Около 98% из них находились в Бразилии.
Исследователи также зарегистрировали сетевой «канарейный» домен — технический сигнал, который помогает отслеживать активность вредоносной кампании, — и направили его на свой веб-сервер. После этого загрузчик решил, что оказался в песочнице, и прекратил дальнейшие действия. Поэтому, по оценке Elastic, обнаруженные заражения не прошли дальше первоначального этапа проникновения.
PEREC.RU
Кампания REF9334 — это новая бразильская вредоносная операция, которую Elastic Security Labs связывает с банковским вредоносным ПО Kremlin. Исследователи считают, что атака действует как минимум с мая 2025 года. Злоумышленники используют поддельные банковские документы, счета и деловые файлы, чтобы заставить пользователей запустить вредоносную программу.
После запуска программа устанавливает вредоносное расширение в браузеры Google Chrome и Microsoft Edge. Оно называется «AVSync System Inc.» и маскируется под антивирусный или защитный компонент. Kremlin способен красть сохранённые в браузере логины и пароли, cookies, токены и данные активных сессий. Такие сведения могут позволить атакующим получить доступ к уже авторизованным аккаунтам без повторного ввода пароля.
Кроме кражи учётных данных, программа наблюдает за действиями пользователя в браузере, делает снимки экрана и собирает информацию с посещаемых сайтов. Основной целью кампании являются пользователи бразильских банков, но сама техника представляет угрозу для всех, кто хранит пароли в браузере и пользуется интернет-сервисами через Chrome или Edge.
Kremlin использует методы противодействия анализу. Перед запуском он проверяет, не находится ли компьютер в песочнице — изолированной среде, применяемой специалистами для исследования вредоносного ПО. Если обнаруживает песочницу, программа прекращает работу. На обычном пользовательском компьютере она пытается закрепиться через замаскированное расширение.
Для обмена данными с операторами используется блокчейн Ethereum. Вредоносная программа не полагается на один фиксированный командный сервер, поэтому её инфраструктуру сложнее заблокировать традиционными способами.
В ходе расследования специалисты Elastic получили контроль над доменом, связанным с кампанией, и обнаружили 1515 заражённых систем. 98% из них находились в Бразилии. Исследователи также зарегистрировали сетевой «канарейный» домен и направили его на собственный веб-сервер. После этого загрузчик решил, что работает в песочнице, и прекратил дальнейшее выполнение.
В результате, по оценке Elastic, выявленные заражения не продвинулись дальше первоначального этапа доступа. Список индикаторов компрометации в исходном материале упоминался отдельно, однако ссылки и навигационные элементы исключены.
