Поделиться
Эксперты Positive Technologies изучили вредоносный сервис Crypters And Tools
Специалисты департамента Threat Intelligence экспертного центра безопасности Positive Technologies провели анализ криптора Crypters And Tools, который активно применяли кибергруппировки PhaseShifters, TA558 и Blind Eagle в своих атаках на организации по всему миру, включая Россию. Исследование показало, что хакеры использовали этот инструмент для маскировки вредоносного ПО, а доступ к сервису предоставлялся по подписке (crypter as a service, CaaS). Об этом CNews сообщили представители Positive Technologies.
Эксперты Positive Technologies впервые обратили внимание на Crypters And Tools во время расследования атак группировки PhaseShifters на отечественные организации в 2024 г. Хакеры использовали этот сервис для создания загрузчиков — специальных программ, которые тайно доставляют на компьютер жертвы вредоносное ПО. Криптор позволяет маскировать опасные файлы и затруднять их анализ с помощью специальных методов шифрования, упаковки и обфускации — намеренного усложнения кода.
Специалисты изучили связанные с криптором социальные сети и выяснили, что под разными названиями Crypters And Tools существует как минимум с лета 2022 г. Исследователи пришли к выводу, что разработчик вредоносного инструмента, вероятнее всего, находится в Бразилии. На это указывают фрагменты кода на португальском языке, обучающие видео автора, на которых видны его IP-адреса, а также электронные письма о выводе с криптобиржи бразильских реалов и упоминание CPF — аналога индивидуального номера налогоплательщика в Бразилии.
«Crypters And Tools упрощает проведение атак, маскируя загрузчики Ande Loader, которые скрываются в картинках и внедряются в легитимные процессы Windows, — сказал Климентий Галкин, специалист группы киберразведки TI-департамента экспертного центра безопасности Positive Technologies. — Это часть тренда: рынок киберпреступности растет и подобные инструменты становятся все популярнее и доступнее».
География атак с использованием Crypters And Tools в основном включает страны Восточной Европы, Латинской Америки, Россию и США. Например, схожие техники обфускации и вредоносное ПО использовала группировка Blind Eagle в кампаниях 2023–2024 гг., нацеленных на предприятия обрабатывающей промышленности Северной Америки. Всего с момента основания сервиса в 2022 г. специалисты Positive Technologies выявили около 3000 файлов, созданных с его помощью.
Чтобы получить доступ к Crypters And Tools, необходимо оплатить подписку и войти в панель управления. Далее хакеру нужно указать в специальном поле URL-адрес с вредоносными файлами и настроить ряд параметров. Например, тип загрузчика, способ закрепления в системе, насколько сильно нужно обфусцировать код и под какой легитимный процесс замаскировать свою активность.
Проведенное Positive Technologies исследование рынка киберпреступности также указывает на рост популярности среди злоумышленников готового вредоносного ПО, такого как Crypters And Tools. Для противодействия подобным угрозам организациям следует использовать современные средства анализа сетевого трафика, защиты конечных точек и обучать сотрудников распознавать попытки атак, основанные на социальной инженерии.
Короткая ссылка
