Взломанные версии Microsoft Office и Adobe Photoshop похищают у установивших их пользователей cookie-файлы сеанса браузера и кошельки с криптовалютой Monero, предупредили специалисты ИБ-компании Bitdefender. По их словам, киберпреступники уже три года распространяют мощное вредоносное ПО через взломанные версии популярных программ.

После выполнения взломанных версий на систему жертвы также устанавливает ncat.exe (легитимный инструмент для передачи по сети необработанных данных) и прокси TOR. Помимо прочего, устанавливается пакетный файл chknap.bat, содержащий последовательность команд.

Вместе эти инструменты создают мощный бэкдор, который через TOR обменивается данными со своим C&C-сервером: двоичный файл ncat использует порт прослушивания прокси-сервера TOR (‘—proxy 127.0.0.1:9075’) и использует параметр ‘- exec ‘, который позволяет клиенту отправлять все входящие данные в приложение, а затем получать ответы через сокет (функционал обратной web-оболочки). Вероятнее всего, бэкдор используется в интерактивном режиме человеком-оператором, а не отправляет автоматические запросы жертвам. Функционал бэкдора:

-Похищение файлов. Ncat может получать локальные файлы для отправки C&C-серверу через TOR;

-Выполнение клиента BitTorrent, который киберпреступники используют для похищения данных;

-Отключение межсетевого экрана и подготовка к похищению данных;

-Похищение данных профиля Firefox (история браузинга, учетные данные и cookie-файлы сеанса). Перед похищением данных злоумышленники архивируют папку с профилем с помощью 7zip, чтобы создать единый файл, в котором содержится все;

-Похищение кошельков Monero через легитимный клиент интерфейса командной строки ‘monero-wallet-cli.exe’.

Этот список является неполным, поскольку бэкдор предоставляет злоумышленникам полный контроль над системой, и они могут адаптировать действия под свои текущие потребности.

Источник: securitylab.ru