Бесшумный убийца: хакер Boolka меняет тактику кибератак

Исследователи безопасности из Group-IB раскрыли деятельность киберзлоумышленника, известного как Boolka, деятельность которого включает развёртывание сложного вредоносного ПО под названием BMANAGER и участие в веб-атаках.

По данным специалистов, Boolka начал свою деятельность в 2022 году, занимаясь внедрением вредоносного JavaScript-кода на сайты. Его скрипты перехватывали и похищали введённые пользователями данные. Впоследствии Boolka перешёл к использованию SQL-инъекций для заражения уязвимых веб-ресурсов.

Троян BMANAGER был впервые выявлен в январе 2024 года на сервере ShadowSyndicate. Анализ показал, что этот троян использует различные модули для выполнения своих задач: от кражи данных до записи нажатий клавиш.

Также исследователи обнаружили, что Boolka использует динамичный подход к обновлению своих скриптов. Так, ещё до обнаружения BMANAGER, в конце 2023 года, его полезная нагрузка была расширена за счёт включения новых проверок и функциональных возможностей, таких как создание скрытых элементов на веб-страницах, чтобы избежать обнаружения.

В январе 2024 года экспертами впервые была выявлена тестовая страница доставки вредоносного ПО от Boolka, использующая BeEF. В марте 2024 года эта платформа была замечена в реальных атаках, доставляя загрузчик для трояна BMANAGER.

BMANAGER представляет из себя модульный троян и состоит из нескольких компонентов, включая загрузчик, кейлоггер и похититель данных. Все модули создавались с использованием PyInstaller и Python 3.11.

Анализ показал, что Boolka использует сложные методы для обеспечения постоянства своих вредоносных программ в системе, создавая задачи Windows для запуска на старте системы. Вредоносные программы также общаются с командным сервером, отправляя зашифрованные данные о заражённых устройствах.

Для защиты от подобных угроз пользователям рекомендуется избегать подозрительных ссылок и загружать приложения только из официальных источников. Также важно регулярно обновлять операционные системы и программное обеспечение, использовать надёжные пароли и многофакторную аутентификацию.

Владельцам сайтов рекомендуется проводить частые аудиты безопасности, использовать надёжные протоколы аутентификации и обновлять программное обеспечение. Для защиты веб-приложений следует развернуть Web Application Firewall, (WAF). Аналитики Group-IB также советуют использовать любую проверенную систему Threat Intelligence для раннего обнаружения угроз и укрепления защиты организаций.