Хакеры прячут серверы в блокчейне биткоина

Мошенники нашли новый способ прятать управляющие серверы — они используют блокчейн Bitcoin. Адрес сервера меняется через новые транзакции и не хранится в самом вирусе, что делает его невидимым для систем анализа. Во втором квартале этого года эксперты выявили 839 уникальных образцов вредоносного ПО, связанных с активностью 17 хакерских группировок. Это на 88% больше, чем за аналогичный период прошлого года, когда было зафиксировано 447 образцов. Основной вклад в статистику внесли пять наиболее активных группировок — на них пришлось около 60% всех выявленных образцов. Первое место заняла Rare Werewolf: с ее активностью связаны 224 образца.

Главным способом проникновения в организации остаются фишинговые письма. Злоумышленники маскируют вредоносные файлы под счета, договоры и служебные документы. Одновременно хакеры усложняют способы доставки вредоносного ПО и скрывают инфраструктуру за легитимными интернет-сервисами. Некоторые даже проверяют устройство пользователя перед загрузкой вредоносного файла, чтобы не выдать вредоносную нагрузку автоматизированным системам анализа.

Как объясняет руководитель Threat Intelligence Positive Technologies Денис Кувшинов, рост числа выявленных образцов показывает, как быстро меняется инструментарий хакеров. Они все чаще комбинируют несколько техник в рамках одной атаки: используют скомпрометированные почтовые ящики, легитимные веб-сервисы и штатные средства операционной системы. В таких условиях компаниям важно опираться не только на известные индикаторы компрометации, но и на поведенческий анализ — отслеживать нетипичные запуски, изменения механизмов автозагрузки и подозрительные сетевые соединения.

Одним из самых заметных приемов стало использование блокчейна Bitcoin для получения адреса управляющего сервера. Управляющий фондом и основатель финтех-платформы SharesPro Денис Астафьев поясняет: вместо того чтобы прописывать адрес сервера прямо в вирусе, мошенники используют биткоин-кошелек как «тайник с записками». Вирус смотрит на последние переводы в этом кошельке, а суммы переводов на самом деле являются зашифрованным адресом, который вирус умеет расшифровывать. Получил число — превратил его в адрес сервера — подключился и получил новые команды.

Чаще всего атаки направлены на финансовые организации — на них пришлось 14,8% зафиксированных случаев. Далее следуют государственные структуры (13,3%) и технологические компании (13,1%). Совокупно на эти три сектора пришлось более 41% атак. Астафьев подчеркивает: блокчейн нельзя выключить, удалить или заблокировать — он существует одновременно на тысячах компьютеров по всему миру. А раз в самом вирусе нет «прописанного» адреса, антивирусам сложнее заранее понять, куда он будет обращаться. Более новые версии этой схемы используют другие блокчейны, например, Ethereum или BNB Smart Chain, где хакеры записывают адрес сервера в «умный контракт» и могут менять его в любой момент. При этом сам биткоин никого не заражает — он просто служит «почтовым ящиком» для уже проникшего вируса. Настоящая опасность начинается раньше — в тот момент, когда человек сам запускает что-то вредное: скачивает пиратскую программу, открывает подозрительное вложение, ставит «кряк» для платного софта или фейковое обновление. Поэтому базовая осторожность остается главной защитой.