LilithBot
LilithBot — это новая угроза вредоносного ПО с обширным набором угрожающих функций, предлагаемая по схеме MaaS (вредоносное ПО как услуга). Эта угроза является частью хакерских инструментов, предлагаемых группой угроз, отслеживаемой как Eternity (EternityTeam, Eternity Project). Киберпреступники действуют как минимум с января 2022 года и связаны с российской «группой шутов». Подробности о LilithBot и его разработчиках были раскрыты общественности в отчете исследователей кибербезопасности.
Согласно их выводам, LilithBot предлагается потенциальным клиентам-киберпреступникам через специальную группу Telegram и может быть приобретен по ссылке, ведущей на веб-сайт, размещенный в сети Tor. Сайт действует как домашняя страница для продуктов хакеров Eternity, причем самым дорогим инструментом является угроза вымогателей.
Когда дело доходит до LilithBot, угроза представляет собой сложное вредоносное ПО, сочетающее в себе функциональность ботнета с криптомайнером, клиппером и стилером. Исследователи Infosec отмечают, что LilithBot прошел через несколько итераций в процессе разработки, при этом команды, присутствующие в более ранних версиях, были удалены в более поздних выпусках. Однако исследователи предупреждают, что злоумышленники могут по-прежнему выполнять удаленные функции, но более скрытно.
При активации в зараженной системе угроза сначала зарегистрируется как бот. Затем LilithBot расшифрует себя, чтобы сбросить файл конфигурации на устройство. Вредоносное ПО использует собственный механизм расшифровки, чтобы предотвратить расшифровку вручную. Похититель компонента угрозы собирает информацию, которая включает историю браузера, файлы cookie и личные данные, такие как изображения. Полученные файлы добавляются в ZIP-архив перед отправкой на командно-контрольный (C2, C&C) сервер операции.
LilithBot использует поддельные сертификаты, чтобы увеличить свои шансы остаться незамеченным. Однако идентифицированные сертификаты, по-видимому, выпущены «Microsoft Code Signing PCA 2011», но не имеют надлежащей проверки и контрподписи.
