Контакты
Подписка 2024
Персональные данные
4 апреля. Персональные данные в 2024 году: регулирование, практика, тенденции
Регистрируйтесь на онлайн-конференцию!

Вредонос Aurora набирает популярность на киберпреступной арене

24/11/22

hack122-Nov-24-2022-10-35-44-1569-AM

Aurora – это инфостилер, который впервые засветился на русскоязычных хакерских форумах в апреле 2022 года. Изначально разработчик рекламировал его как ботнет с мощным функционалом, позволяющим красть информацию и получать удаленный доступ к системам жертвы.

Однако в конце августа 2022 года исследователи из SEKOIA заметили , что Aurora рекламируют как инфостилер. Это говорит об одном, по версии Securitylab – разработчик решил отказаться от создания многофункционального инструмента. Но способностей у вредоноса все равно в достатке:

  • Полиморфная компиляция;
  • Расшифровка данных на стороне сервера;
  • Возможность работы с более чем 40 криптокошельками;
  • Автоматическое определение seed-фразы для MetaMask;
  • Реализован обратный поиск для сбора паролей;
  • Вредонос работает на TCP сокетах;
  • Подключение к C2 происходит только один раз, во время проверки лицензии;
  • Полезная нагрузка весит всего 4,2 МБ и не требует никаких зависимостей.

Как говорят специалисты, все эти функции должны сделать злоумышленника почти невидимым для систем безопасности, что является огромным преимуществом Aurora перед другими популярными инфостилерами. Цена вредоноса – $250 в месяц или $1 500 за пожизненную лицензию.

При запуске Aurora выполняет несколько команд через WMIC для сбора основной информации о хосте, делает снимок рабочего стола и отправляет все на C&C-сервер злоумышленников. Потом вредонос начинает искать данные, хранящиеся в различных браузерах (cookie-файлы, пароли, историю поиска, данные кредитных карт), расширениях для криптотрейдинга, приложения-криптокошельки (Electrum, Ethereum, Exodus, Zcash, Armory, Bytecoin, Guarda и Jaxx Liberty) и Telegram.

Все украденные данные собираются в один JSON-файл, кодируются в base64 и отправляются на C&C-сервер злоумышленников через TCP-порты 8081 или 9865.

SEKOIA сообщает, что аналитикам не удалось найти рабочий граббер файлов, обещанный разработчиком. Однако вместо этого был найден дроппер Aurora, который использует "net_http_Get" для доставки полезной нагрузки в файловую систему под случайным именем, а затем использует PowerShell-команду для ее выполнения.

Сейчас Aurora распространяется среди жертв в основном через фишинговые сайты, которые злоумышленники пиарят через ролики на YouTube и фишинговые рассылки.

Полный список индикаторов компрометации и сайтов, использованных для распространения Aurora, можно найти в репозитории SEKOIA на GitHub.

Темы:УгрозыинфостилерыSEKOIA
NGFW
9 апреля. Отечественные NGFW: как защитить облачную инфраструктуру и настроить обнаружение кибератак
Участвуйте и представляйте решения!
Статьи по темеСтатьи по теме

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
SOAR, IRP, SOC
Спецпроекты журнала "Информационная безопасность"
Станьте автором издания!

Еще темы...

More...