Врата компрометации: вредонос «DarkGate» активно распространяется через фишинговые рассылки

Исследователями безопасности была обнаружена новая кампания вредоносного фишинга (MalSpam), в ходе которой устройства жертв заражаются вредоносным ПО под названием DarkGate.

По словам специалистов Telekom Security, внезапный всплеск активности DarkGate может быть связан с тем, что разработчик этого вредоноса начал сдавать его в аренду ограниченному кругу аффилированных лиц.

В подробном отчёте компании отмечается, что атака начинается с фишинговой ссылки, которая через систему перенаправления трафика ведёт жертву на вредоносный MSI-файл. Скачивание и запуск этого файла инициирует многоступенчатый процесс, в результате которого и происходит расшифровка, а затем запуск DarkGate.

Исследователями также был замечен альтернативный вариант атак с использованием скрипта Visual Basic вместо MSI-файла. Он использует cURL для извлечения исполняемого файла AutoIt и самого скрипта. Точный метод, с помощью которого VB-скрипт доставляется в систему, в настоящее время неизвестен.

DarkGate, продаваемый на подпольных форумах хакером под псевдонимом «RastaFarEye», умеет скрываться от антивирусов, закрепляться в системе с помощью изменений в реестре, повышать привилегии, красть данные из браузеров и программ вроде Discord и FileZilla.

Также вредонос устанавливает связь с командным сервером для кражи файлов, запуска криптомайнеров, удалённого создания скриншотов и выполнения прочих команд. Ранние версии вредоноса также имели модуль-вымогатель.

DarkGate предлагается по подписке от 1000$ в день до 100 000$ в год. Разработчик рекламирует его как «лучший инструмент для пентестеров», но все прекрасно понимают, что легитимным пентестом тут и не пахнет.

Фишинг всё ещё остаётся основным способом распространения загрузчиков и прочих вредоносов типа KrakenKeylogger, QakBot, Raccoon Stealer и других. А согласно недавнему отчёту компании HP, именно на электронную почту приходится 79% киберугроз, выявленных во 2 квартале этого года.