24/10/24
Об этом рассказали эксперты Kaspersky GReAT на международной конференции Security Analyst Summit на Бали.
Троянец Grandoreiro, активный с 2016 года, продолжает использоваться партнёрами кибергруппы, участники которой были арестованы в начале 2024 года. Эксперты Kaspersky GReAT обнаружили новую версию зловреда, которая нацеливается на клиентов примерно 30 мексиканских банков.
На мелкие кусочки. После проведённой совместно с Интерполом операции, которая привела к аресту участников кибергруппы в Бразилии, эксперты «Лаборатории Касперского» обнаружили, что вредоносный код поделён на более мелкие фрагменты и атаки продолжаются. Вероятно, их организаторы имеют доступ к исходному коду и запускают новые кампании, используя упрощенную версию первоначального кода Grandoreiro.
Новые техники. «Лаборатория Касперского» также проанализировала новые образцы обычной, не облегчённой версии троянца Grandoreiro, и обнаружила новые тактики. Зловред записывает и потом воспроизводит активность мыши, имитируя реальные нажатия, чтобы избежать обнаружения системами безопасности, которые анализируют поведение пользователей. Кроме того, Grandoreiro использует криптографическую технику, известную как Ciphertext Stealing (CTS), которую эксперты «Лаборатории Касперского» ранее не встречали во вредоносных образцах. В данном случае техника позволяет зашифровать строки вредоносного кода и тем самым усложнить его обнаружение.
Гранд-угроза. Grandoreiro остаётся наиболее активной глобальной киберугрозой. На атаки этого зловреда пришлось около 5% от всех атак банковских троянцев, причём большая их часть зафиксирована в Мексике (51 тысяча инцидентов, в том числе с использованием новой версии). Всего в 2024 году разные версии троянца нацелены на пользователей более 1700 финансовых институтов и 276 криптовалютных кошельков в 45 странах.
«Мы видим, что у троянца Grandoreiro меняются не только цели, но и способы технической реализации атак. Для защиты от подобного вида киберугроз компаниям необходима надёжная современная защита, эффективность которой регулярно подтверждается независимыми тестами, и доступ к аналитическим данным Threat Intelligence для своевременного получения информации о новейших тактиках, техниках и процедурах злоумышленников», — комментирует Игорь Кузнецов, директор Kaspersky GReAT (Глобального центра исследований и анализа угроз «Лаборатории Касперского»).
