Просмотр новости
Найдите то, что Вас интересует
Спутники
РН
SpaceX
Роскосмос
NASA
СпутникиРНSpaceXРоскосмосNASAИсследователи компании LevelBlue выявили троянец, который оказался целым фреймворком для генерации новых вредоносов. Его авторы кокетливо делают вид, что это исследовательский инструмент.
08 Июля 2026 16:32 08 Июл 2026 16:32 |
Исследователи компании LevelBlue выявили троянец, который оказался целым фреймворком для генерации новых вредоносов. Его авторы кокетливо делают вид, что это исследовательский инструмент.
Исследователи компании LevelBlue выявили новый троянец удалённого доступа (RAT) QuimaRAT, который может с равным успехом атаковать среды Windows, Linux и macOS.
Кроссплатформенный вредонос предлагается в даркнете по модели Malware-as-a-Service (MaaS), то есть, сдаётся в аренду. Стоимость «абонентской платы» варьируется от $150 в месяц до $1200 за перманентный доступ.
QuimaRAT написан целиком на Java и это обеспечивает ему широкую кроссплатформенность.
Авторы трояна-конструктора QuimaRAT кокетливо делают вид, что это исследовательский инструмент
«Построенная по модульному принципу, эта вредоносная программа поддерживает динамическое расширение функциональности с помощью зашифрованных плагинов, доставка, подключение от отключение которых осуществляется непосредственно из ее инфраструктуры управления и контроля (C2)», - говорится в публикации LevelBlue.
Авторы QuimaRAT также рекламируют возможность компилировать конечную «полезную нагрузку» в различных форматах - .jar, .exe, .app, .sh, .bat и .vbs - для различных сред и моделей доставки.
Помимо этого авторы гарантируют полную скрытность в средах Windows и Linux: дескать, никаких видимых интерфейсов или элементов рабочего стола нет. Под macOS, однако, реализация таких функций как захват экрана или перехват пользовательского ввода потребуют «административных привилегий, выданных пользователем».
Если зайти на общедоступный сайт авторов QuimaRAT, то там пользователей встречает всплывающее сообщение, в котором говорится, что платформа «предоставляет инструменты для проведения наступательных операций в области кибербезопасности, предназначенные исключительно для профессиональных исследований, авторизованного тестирования на проникновение и контролируемых образовательных сред». Есть также и предупреждение о недопустимости использования программы в «злонамеренных, несанкционированных или незаконных целях». Кокетливое и абсолютно ложное заявление.
Всего авторы предлагают сразу четыре различных инструмента: помимо QuimaRAT (который на сайте именуется Quima Control), это Quima Builder - набор для компиляции вредоноса под конечные среды; Quima Loader - средство доставки «полезной нагрузки» через кэш браузеров, и Quima Dropper, генератор «полезной нагрузки» в форматах HTML/SVG.
Quima Loader позволяет оператору загрузить EXE-файл через специальную панель и выбрать формат доставки (например, HTA или LNK), а также шаблон целевой страницы (например, это может быть поддельная CAPTCHA или оповещение об обновлении ПО), после чего инструмент генерирует ссылку-загрузчик, которая при открытии жертвой в браузере запускает следующую последовательность действий, ведущую к установке и запуску вредоноса с обходом защитных инструментов, таких как SmartScreen в Windows.
Как выяснили эксперты LevelBlue, QuimaRAT - это модульный Java-проект, созданный с использованием Apache Maven, содержащий при этому встроенные библиотеки Java Native Access (JNA) для Windows, Linux и macOS на различных архитектурах. Он также декодирует и анализирует внутренний конфигурационный файл, необходимый для проверки среды, установки постоянного хранилища и инициализации контрольного сервера.
«Эти встроенные компоненты позволяют RAT напрямую взаимодействовать с низкоуровневыми API операционной системы через код на C/C++. Это свидетельствует о том, что разработчики стремились реализовать поддержку множества платформ».
Перед запуском вредонос удостоверяется, что в заражённой системе запущен только один её экземпляр. Для этого она создаёт файл блокировки (lock file) во временном каталоге операционной системы и предотвращает его одновременное использование другими процессами.
Если обнаруживается, что другой экземпляр троянца уже удерживает блокировку этого файла.
Определив операционную систему QuimaRAT выбирает дальнейшие действия - обход песочниц и виртуальных сред, обеспечение закрепления в системе и запуск основного компонента.
Если в конфигурации включена функция Binder, троян способен одновременно с основным процессом RAT запускать дополнительную полезную нагрузку или приложение-обманку.
Для обеспечения постоянного присутствия в системе вредонос использует различные механизмы, в зависимости от операционной системы: ключи реестра, запланированные задания и папку Startup в Windows, записи автозапуска .desktop и задания crontab, выполняемые при перезагрузке, в Linux, а также файл LaunchAgent plist в macOS.
Кроме того, троянец содержит механизм обновления адреса C2-сервера через Pastebin. Такой подход позволяет оператору динамически перенастраивать инфраструктуру командного сервера, оставляя конечный компонент нетронутым.
Основная задача QuimaRAT - установить связь с контрольным сервером по протоколу TCP (или WebSocket, TLS и HTTPS) для получения и выполнения команд.
Во вредонос встроен компонент, отслеживающий активность канала связи и автоматически восстанавливающий соединение в случае его потери. Кроме того, QuimaRAT поддерживает индикатор отключения системы, который, деактивирует модули восстановления связи, когда система уходит в спящий режим, и восстанавливает их после переключения в нормальный режим работы системы.
Вредонос поддерживает широкий спектр возможностей, включая удалённое выполнение команд, удалённую доставку полезных нагрузок и плагинов, кражу учётных данных, закрепление в системе, передачу файлов, манипулирование содержимым буфера обмена и слежку через веб-камеру. В конечном счёте злоумышленник получает полный контроль над заражённой системой.
Это типичный для продвинутых RAT-троянцев арсенал, но сверх этого QuimaRAT поддерживает бесфайловое выполнение shell-кода в хостах Windows и использует отказоустойчивую систему связи, обеспечивающую постоянный доступ к скомпрометированным устройствам.
«QuimaRAT следует рассматривать как модульную Java-платформу для создания RAT, а не как отдельно взятый статичный имплант», - пишут исследователи LevelBlue. - «Обфускация уровня ProGuard, механизм переноса пространств имён Maven Shade, сохранённые символы времени выполнения и синтетические дешифраторы строк дополнительно подтверждают вывод о том, что QuimaRAT разработан таким образом, чтобы изменять статические сигнатуры без изменения своего основного поведения».
«MaaS-модель появилась не вчера и разработчики этих инструментов - давно не любители, - комментирует Михаил Зайцев, эксперт по информационной безопасности компании SEQ. - Как конструктор вредоносов QuimaRAT занимает очень прибыльную нишу, ориентированную на других профессионалов (если так уместно говорить о киберкриминале). Он вряд ли радикально изменит общий ландшафт угроз, но давление, которое с его помощью будут оказывать инфраструктуру целевых компаний, может оказаться весьма чувствительным».
| # | Наименование новости | Тональность | Информативность | Дата публикации |
|---|---|---|---|---|
| 1 | В сети найден «конструктор», серийно изготовляющий вредоносы для всех основных ОС | 0 | 5 | 08-07-2026 |
| 2 | Android-зловред, который мимикрирует под сервис для поиска топлива, собирает данные со смартфонов | 0 | 7 | 25-06-2026 |
| 3 | DLBI: мошенники атакуют безработных | 0 | 5 | 22-06-2026 |
| 4 | DLBI: мошенники атакуют безработных | 0 | 5 | 22-06-2026 |
| 5 | Мошенники создают поддельные сайты-радары атак БПЛА для имитации взлома личных кабинетов | 0 | 7 | 29-06-2026 |
| 6 | Эксперты выявили 22 тысячи попыток заражения вредоносным ПО под видом сериалов Netflix | 0 | 0 | 21-07-2020 |
| 7 | «Лаборатория Касперского» обнаружила многоступенчатую фишинговую атаку на производство РФ | 0 | 7 | 08-07-2026 |
| 8 | CrySome RAT Campaign Turns a Fake Freight Document Into a Full Remote Access Breach | 0 | 8 | 07-07-2026 |
| 9 | Россиян предупредили о схеме мошенничества с уведомлением о БПЛА | -2 | 6 | 27-06-2026 |
| 10 | Предназначенная для macOS малварь Gaslight обманывает ИИ-инструменты | 0 | 7 | 26-06-2026 |