Просмотр новости
Найдите то, что Вас интересует
Спутники
РН
SpaceX
Роскосмос
NASA
СпутникиРНSpaceXРоскосмосNASAНа киберкриминальных площадках рекламируется новый вредонос, явно ориентированный на «командную работу» и представляющий особую угрозу для корпоративных сред.
20 Июля 2026 07:58 20 Июл 2026 07:58 |
На киберкриминальных площадках рекламируется новый вредонос, явно ориентированный на «командную работу» и представляющий особую угрозу для корпоративных сред.
На киберкриминальных площадках рекламируется новый инфостилер (вредонос для кражи данных, как правило, связанных с финансовыми активами) под названием Storm. Как утверждается в исследовании ИБ-компании Varonis, вредонос использует новый подход в том, что касается обработки шифрованных данных: расшифровка производится на сервере, принадлежащим злоумышленникам.
«Раньше инфостилеры расшифровывали учетные данные браузера на машине самой жертвы, загружая для этого библиотеки SQLite и напрямую обращаясь к хранилищам учетных данных. Инструменты защиты для конечных устройств, однако, стали эффективно выявлять такие действия, так что доступ к локальным базам данных браузера стал одним из самых явных индикаторов вредоносной активности», - пишут исследователи.
На киберкриминальных площадках появился троян Storm, представляющий особую угрозу для корпоративных сред
В июле 2024 года Google реализовал новый метод шифрования - App-Bound Encryption, привязав ключи шифрования к самому браузеру Chrome и дополнительно усложнив локальную расшифровку.
На первых этапах вредоносы пытались произвести внедрение в [процессы] Chrome или задействовать его протокол отладки. Однако и эти методы оставляли следы, которые могли обнаружить средства безопасности.
И вот теперь разработчики инфостилеров стали целиком отказываться от локальной расшифровки. Вместо этого зашифрованные файлы пересылаются на их собственную инфраструктуру, так что исчезла телеметрия, на которую ориентируются большинство защитных средств для обнаружения кражи учетных данных.
Storm обрабатывает на серверной стороне данные, извлеченные как из браузеров на базе движка Chromium, так и Gecko (Firefox, Waterfox, Pale Moon).
Собранные данные включают все, что нужно злоумышленникам для воссоздания у себя перехваченных сессий и кражи финансовых активов: сохраненные пароли, сессионные cookie-файлы, данные автозаполнения, токены Google-аккаунтов, данные банковских карт и историю просмотров.
Тут стоит иметь в виду, что один скомпрометированный браузер корпоративного работника может предоставить хакерам аутентифицированный доступ к SaaS-платформам, внутренним инструментам и облачным средам - и все это без срабатывания предупреждений, связанных с паролями.
Storm предлагается по арендной модели с несколькими вариантами тарифов: 300 долларов за неделю в режиме демоверсии, 900 долларов в месяц - за стандартное предложение, а за 1800 долларов в месяц предлагается лицензия на 100 операторов и 200 сборок. Дополнительно требуется нечто, что в публикации Varonis обозначено как «криптер».
Сборки продолжают работать и после истечения срока лицензии, так что внедренные инфостилеры продолжают сбор данных вне зависимости от состояния подписки.
«Сама архитектура Storm и опция командной подписки в очередной раз напоминают о существовании масштабной киберкриминальной индустрии, в которой занято огромное количество людей, - отмечает Михаил Зайцев, эксперт по информационной безопасности компании SEQ. - Что касается расшифровки на серверной стороне, то это действительно очень скверная новость для потенциальных жертв, особенно в корпоративном секторе, просто потому, что серверы - по определению более производительны и со взломом шифрования справится куда эффективнее, чем на локальной машине. Следствием станет, скорее всего, постепенный пересмотр всей политики аутентификации в корпоративных средах».
Помимо учетных данных, Storm извлекает документы из пользовательских каталогов, собирает данные сессий из Telegram, Signal и Discord, а также нацеливается на криптокошельки через расширения браузера и десктопные приложения. Информация о системе и скриншоты снимаются с нескольких мониторов. Все выполняется в памяти, чтобы снизить вероятность обнаружения.
Конечные операторы подключают собственные виртуальные частные серверы (VPS) к центральным серверам Storm, направляя украденные данные через контролируемую ими инфраструктуру, а не через общую платформу. Это защищает центральные серверы от попыток блокировки: усилия по противодействию оказываются направлены на узлы операторов.
Система управления командами поддерживает нескольких участников с различными правами доступа (к логам, созданию сборок и восстановлению cookie), что позволяет одной некомандной лицензии Storm обслуживать целую небольшую киберпреступную группу с разделением функций.
Система определения доменов автоматически маркирует украденные учетные данные по сервисам для фильтрации и приоритизации целей: исследователи видели настройки для Google, Facebook*, Twitter/X и cPanel. Скорее всего, есть настройки и под другие цели.
На момент исследования панель логов вредоноса содержала 1715 записей: в них фигурировали такие страны как Индия, США, Бразилия, Индонезия, Эквадор, Вьетнам и другие страны.
Идет ли речь о уже «состоявшихся» жертвах или только тестовых данных, проверить сложно. По мнению исследователей, такое разнообразие IP-адресов, провайдеров и объемов данных выглядит характерным для активных кампаний.
Учетные данные, связанные с Google, Facebook*, Twitter/X, Coinbase, Binance, Blockchain.com и Crypto.com, встречаются регулярно: в целом, считают эксперты, это типичный «джентльменский набор» данных, выставляемых на киберкриминальные маркеты. Впоследствии их используют для захвата аккаунтов, мошенничества и первоначального доступа, за которым следуют более узконаправленные атаки.
* Американская транснациональная холдинговая компания Meta Platforms Inc. по реализации продуктов социальных сетей Facebook и Instagram входит в перечень организаций, признанных в соответствии с законодательством Российской Федерации экстремистскими
| # | Наименование новости | Тональность | Информативность | Дата публикации |
|---|---|---|---|---|
| 1 | В Сети появился новый троян, умеющий расшифровывать краденные данные на своем сервере. Распространяется в аренду | -2 | 7 | 20-07-2026 |
| 2 | Новый «червь» охотится за данными криптокошельков, распространяясь через «флешки» | -2 | 7 | 19-06-2026 |
| 3 | Banking-Trojaner sorgt dafür, dass Geld automatisch an Kriminelle fließt | -3 | 6 | 15-09-2025 |
| 4 | "Ъ": банки и энергетические компании России подверглись новой волне кибератак | 0 | 0 | 18-02-2020 |
| 5 | Эксперты обнаружили новую волну скрытых кибератак на российские компании | 0 | 0 | 13-08-2019 |
| 6 | Новый троян крадет данные, перехватывает пароли и блокирует смартфоны | -2 | 7 | 08-06-2026 |
| 7 | Эксперты предупредили о масштабной атаке вируса-вымогателя на российские компании | 0 | 0 | 24-06-2019 |
| 8 | Эксперты рассказали о новом способе кибератак на корпоративные данные | 0 | 0 | 27-05-2021 |
| 9 | Новая волна фишинга бьет по ИТ-отделам: целевые атаки на системных администраторов | -2 | 6 | 07-07-2026 |
| 10 | Мошенники начали маскировать вирусы под ChatGPT и сервисы Google | -2 | 6 | 11-06-2026 |