Одна из старейших RAT-угроз подозрительно активизировалась в последнее время.
https://www.securitylab.ru/upload/ib...taeujbhsr.jpeg
Появилась новая Linux-версия троянской программы удаленного доступа Bifrost, которая использует ряд новых методов маскировки. Один из основных инструментов – поддельный домен, похожий на легитимный VMware.
Bifrost, впервые обнаруженный 20 лет назад, является одной из старейших действующих угроз типа RAT. Он заражает пользователей через вредоносные вложения в электронные письма или сайты, распространяющие вредоносную нагрузку, а затем собирает конфиденциальную информацию с зараженного компьютера.
Исследователи Palo Alto Networks недавно зафиксировали резкий рост активности Bitfrost. Было инициировано расследование, в ходе которого выяснилось, что сейчас злоумышленники используют прокачанную версию вредоноса.
Новые методы Bitfrost
Анализ последних образцов Bitfrost, выполненный аналитиками Unit 42 , выявил несколько интересных обновлений, улучшающих скрытность трояна и расширяющих его возможности.
Во-первых, сервер управления и контроля, с которым связывается троян, использует домен "download.vmfare[.]com" – он и напоминает VMware. Это позволяет легко ускользнуть от обнаружения.
Для разрешения обманчивого домена используется публичный DNS-резолвер Тайваня.
Bitfrost собирает имя хоста жертвы, IP-адрес и идентификаторы процессов, затем шифрует данные при помощи RC4 перед передачей и эксфильтрирует их на C2-сервер через вновь созданный TCP-сокет.
Ещё одним новшеством, освещённым в отчёте, стала версия Bitfrost для ARM, обладающая теми же функциями, что и проанализированные образцы x86.
Характеристики этих сборок указывают, что злоумышленники намерены расширить сферу своего воздействия на архитектуры ARM, которые сейчас активно распространяются в различных средах.
Хотя Bitfrost, возможно, не входит в число наиболее изощрённых угроз или широко распространённых вредоносных программ, открытия, сделанные командой Unit 42, требуют повышенной бдительности.