Bifrost: старый троян использует новые трюки, чтобы украсть вашу идентичность

Появилась новая Linux-версия троянской программы удаленного доступа Bifrost, которая использует ряд новых методов маскировки. Один из основных инструментов – поддельный домен, похожий на легитимный VMware.

Bifrost, впервые обнаруженный 20 лет назад, является одной из старейших действующих угроз типа RAT. Он заражает пользователей через вредоносные вложения в электронные письма или сайты, распространяющие вредоносную нагрузку, а затем собирает конфиденциальную информацию с зараженного компьютера.

Исследователи Palo Alto Networks недавно зафиксировали резкий рост активности Bitfrost. Было инициировано расследование, в ходе которого выяснилось, что сейчас злоумышленники используют прокачанную версию вредоноса.

Новые методы Bitfrost

Анализ последних образцов Bitfrost, выполненный аналитиками Unit 42 , выявил несколько интересных обновлений, улучшающих скрытность трояна и расширяющих его возможности.

Во-первых, сервер управления и контроля, с которым связывается троян, использует домен "download.vmfare[.]com" – он и напоминает VMware. Это позволяет легко ускользнуть от обнаружения.

Для разрешения обманчивого домена используется публичный DNS-резолвер Тайваня.

Bitfrost собирает имя хоста жертвы, IP-адрес и идентификаторы процессов, затем шифрует данные при помощи RC4 перед передачей и эксфильтрирует их на C2-сервер через вновь созданный TCP-сокет.

Ещё одним новшеством, освещённым в отчёте, стала версия Bitfrost для ARM, обладающая теми же функциями, что и проанализированные образцы x86.

Характеристики этих сборок указывают, что злоумышленники намерены расширить сферу своего воздействия на архитектуры ARM, которые сейчас активно распространяются в различных средах.

Хотя Bitfrost, возможно, не входит в число наиболее изощрённых угроз или широко распространённых вредоносных программ, открытия, сделанные командой Unit 42, требуют повышенной бдительности.