04/03/24
Появилась новая Linux-версия троянской программы удаленного доступа Bifrost, которая использует ряд новых методов маскировки. Один из основных инструментов – поддельный домен, похожий на обычный домен VMware.
Bifrost, впервые обнаруженный 20 лет назад, является одной из старейших действующих угроз типа RAT, согласно Securitylab. Он заражает пользователей через вредоносные вложения в электронные письма или сайты, распространяющие вредоносную нагрузку, а затем собирает конфиденциальную информацию с зараженного компьютера.
Исследователи Palo Alto Networks недавно зафиксировали резкий рост активности Bitfrost. Было инициировано расследование, в ходе которого выяснилось, что сейчас злоумышленники используют прокачанную версию вредоноса.
Новые методы Bitfrost
Анализ последних образцов Bitfrost, выполненный аналитиками Unit 42, выявил несколько интересных обновлений, улучшающих скрытность трояна и расширяющих его возможности.
Во-первых, сервер управления и контроля, с которым связывается троян, использует домен "download.vmfare[.]com" – он и напоминает VMware. Это позволяет легко ускользнуть от обнаружения.
Для разрешения обманчивого домена используется публичный DNS-резолвер Тайваня.
Bitfrost собирает имя хоста жертвы, IP-адрес и идентификаторы процессов, затем шифрует данные при помощи RC4 перед передачей и эксфильтрирует их на C2-сервер через вновь созданный TCP-сокет.
Ещё одним новшеством, освещённым в отчёте, стала версия Bitfrost для ARM, обладающая теми же функциями, что и проанализированные образцы x86.
Характеристики этих сборок указывают, что злоумышленники намерены расширить сферу своего воздействия на архитектуры ARM, которые сейчас активно распространяются в различных средах.
Хотя Bitfrost, возможно, не входит в число наиболее изощрённых угроз или широко распространённых вредоносных программ, открытия, сделанные командой Unit 42, требуют повышенной бдительности.
