Приток высококвалифицированных хакеров и новые возможности вредоносного ПО открыли новые горизонты в мире киберпреступности.
https://www.securitylab.ru/upload/ib...ccd0m159zp.png
Программа-вымогатель BlackCat (ALPHV) обновила свой инструмент для кражи данных, используемого для атак с двойным вымогательством.
Исследователи из компании Symantec сообщают , что инструмент Exmatter , который использовался с момента запуска BlackCat в ноябре 2021 года, в августе был обновлен и получил следующие изменения:<ul><li>Теперь эксфильтрация доступна только для расширений: PDF, DOC, DOCX, XLS, PNG, JPG, JPEG, TXT, BMP, RDP, SQL, MSG, PST, ZIP, RTF, IPT и DWG;</li>
</ul><ul><li>Добавлен FTP в качестве опции эксфильтрации в дополнение к SFTP и WebDav;</li>
</ul><ul><li>Добавлена возможность создать отчет со списком всех обработанных файлов;</li>
</ul><ul><li>Добавлена функция «Ластик», дающая возможность повреждать обработанные файлы;</li>
</ul><ul><li>Добавлен параметр конфигурации «Самоуничтожение», чтобы покинуть систему и «удалить себя», если вход выполнен в недопустимой среде;</li>
</ul><ul><li>Удалена поддержка Socks5;</li>
</ul><ul><li>Добавлена опция для развертывания объекта групповой политики GPO.</li>
</ul>Также в Exmatter произошел масштабный рефакторинг кода, чтобы выполнять существующие функции более скрытно и избежать обнаружения.
Кроме того, было обнаружено, что BlackCat создал новое вредоносного ПО «Eamfo», которое нацелено на учетные данные, хранящиеся в резервных копиях разработчика ПО Veeam.
Eamfo подключается к базе данных Veeam SQL и крадет учетные данные для резервного копирования с SQL-запроса. После извлечения учетных данных Eamfo расшифровывает их и отображает злоумышленнику.
По словам исследователей, Eamfo использовалось другими группировками, включая Monti , Yanluowang и LockBit .
Symantec также сообщает, что операторы BlackCat прекращают сотрудничество с аффилированными лицами, которые, на их взгляд, недостаточно продуктивны, предлагая им работать с более низкими по уровню RaaS-программами. Это привело к притоку опытных злоумышленников, которые смогли быстро запустить новые атаки в рамках новой кампании.