26/06/24
Исследователи безопасности из Group-IB раскрыли деятельность киберзлоумышленника, известного как Boolka, деятельность которого включает развёртывание сложного вредоносного ПО под названием BMANAGER и участие в веб-атаках.
По данным специалистов, Boolka начал свою деятельность в 2022 году, занимаясь внедрением вредоносного JavaScript-кода на сайты. Его скрипты перехватывали и похищали введённые пользователями данные. Впоследствии Boolka перешёл к использованию SQL-инъекций для заражения уязвимых веб-ресурсов, пишет Securitylab.
Троян BMANAGER был впервые выявлен в январе 2024 года на сервере ShadowSyndicate. Анализ показал, что этот троян использует различные модули для выполнения своих задач: от кражи данных до записи нажатий клавиш.
Также исследователи обнаружили, что Boolka использует динамичный подход к обновлению своих скриптов. Так, ещё до обнаружения BMANAGER, в конце 2023 года, его полезная нагрузка была расширена за счёт включения новых проверок и функциональных возможностей, таких как создание скрытых элементов на веб-страницах, чтобы избежать обнаружения.
В январе 2024 года экспертами впервые была выявлена тестовая страница доставки вредоносного ПО от Boolka, использующая BeEF. В марте 2024 года эта платформа была замечена в реальных атаках, доставляя загрузчик для трояна BMANAGER.
BMANAGER представляет из себя модульный троян и состоит из нескольких компонентов, включая загрузчик, кейлоггер и похититель данных. Все модули создавались с использованием PyInstaller и Python 3.11.
Анализ показал, что Boolka использует сложные методы для обеспечения постоянства своих вредоносных программ в системе, создавая задачи Windows для запуска на старте системы. Вредоносные программы также общаются с командным сервером, отправляя зашифрованные данные о заражённых устройствах.
Для защиты от подобных угроз пользователям рекомендуется избегать подозрительных ссылок и загружать приложения только из официальных источников. Также важно регулярно обновлять операционные системы и программное обеспечение, использовать надёжные пароли и многофакторную аутентификацию.
