Positive Technologies предупреждает о набирающем популярность вредоносном ПО BlueFox

Согласно первым результатам анализа, программа напоминала RedLine — самый популярный инфостилер в киберпреступных каналах и чатах в Telegram за последние три года.

Однако дальнейшее исследование показало, что пойманное вредоносное ПО — BlueFox, новый инфостилер, появившийся в конце 2021 г. и уже описанный на зарубежном онлайн-ресурсе. В ближайшие два года эксперты компании ожидают широкого распространения BlueFox и, как следствие, массовых вредоносных кампаний с его использованием. Украденные с помощью BlueFox учетные данные могут перепродаваться в дарквебе и использоваться киберпреступниками для спреинга паролей и взлома компаний.

В Positive Technologies отмечают значительное сходство RedLine и BlueFox. Это подтверждают следующие пункты: они относятся к одному классу вредоносного ПО — инфостилерам. Их задача — собирать из зараженных систем информацию (как правило, имена пользователей и пароли) и отправлять ее злоумышленникам; написаны на одном языке программирования (C#); распространяются по схеме MaaS (Malware as a Service, «вредоносное ПО как услуга»); продаются на теневых форумах довольно дешево по меркам киберпреступного рынка: RedLine — 150 $, BlueFox — 350 $; имеют схожий функционал: сбор паролей, кошельков, данных браузера, скриншотов экрана, файлов по маске пути, — а также скачивание и запуск других семплов.

Это дает специалистам PT Expert Security Center основания предполагать, что BlueFox будет применяться злоумышленниками наряду с RedLine и может в течение 1-2 лет приобрести неменьшую популярность. Так, например, только в апреле 2022 г. было зафиксировано 10 тыс. атак с использованием RedLine более чем в 150 странах мира, а по степени распространения с помощью ботнетов C2 RedLine уступает лишь Cobalt Strike.

Исторически мы видим, как ботнеты и загрузчики распространяют инфостилеры: в дарквебе злоумышленники приобретают эти программы у вирусописателей или их посредников для массовых атак на пользователей. Затем они рассылают их по всевозможным каналам: по почте, через мессенджеры или размещая загрузчики на сайтах. В дальнейшем похищенные с помощью инфостилера учетные записи злоумышленники продают также на теневых форумах. Их могут использовать и другие киберпреступники, в том числе APT -группировки, чтобы попытаться проникнуть в интересующие их компании. Это избавляет высококвалифицированных преступников от необходимости проводить целенаправленные фишинговые атаки или искать в инфраструктурах жертв незакрытые уязвимости. Мы проследили еще одну интересную аналогию между RedLine и BlueFox: в год своего создания RedLine не был особенно популярным, зато в следующем году спрос на него увеличился трехкратно. Частота применения BlueFox в атаках увеличивается такими же темпами спустя год после того, как он появился на киберпреступных площадках.

 

Алексей Вишняков,

руководитель отдела обнаружения вредоносного ПО экспертного центра безопасности Positive Technologies.