Дослідники з Google, iVerify та Lookout виявили новий інструмент злому iPhone під назвою DarkSword, який уразив заражені веб-сайти та здатний миттєво і непомітно скомпрометувати пристрої під керуванням iOS 18. Код зловмисного ПЗ опинився у відкритому доступі — разом із коментарями та назвою, що практично запрошує інших хакерів використати його проти необмеженого кола жертв, — про це повідомляє WIRED.

Що таке DarkSword і кого він уражає

DarkSword — це складна техніка злому iPhone, виявлена в інфікованих веб-сайтах: достатньо відвідати такий ресурс, щоб пристрій було скомпрометовано. Інструмент не зачіпає iPhone з найновішими оновленнями iOS, однак ефективно працює проти пристроїв на iOS 18 — попередній основній версії операційної системи Apple. За даними самої компанії, станом на минулий місяць майже чверть усіх iPhone у світі ще працювала на iOS 18.

«Колосальна кількість користувачів iOS могла позбутися всіх своїх персональних даних просто через відвідування популярного сайту», — заявив Роккі Коул, співзасновник і генеральний директор iVerify. «Сотні мільйонів людей, які досі використовують старіші пристрої Apple або старіші версії операційної системи, залишаються вразливими».

DarkSword містить два окремі ланцюжки експлойтів, орієнтовані на різні вразливості в залежності від того, яка саме версія iOS 18 встановлена на цільовому пристрої. Для порівняння: раніше виявлений набір Coruna атакував iOS 13–17, тоді як DarkSword охоплює iOS 18 — тобто потенційне коло жертв є значно ширшим.

Що краде шкідливе ПЗ та як воно діє

За даними Lookout, DarkSword здатне викрадати паролі та фотографії, журнали переписки з iMessage, WhatsApp і Telegram, історію браузера, дані Календаря та Нотатки, а також інформацію з програми Apple Health. Крім того, шкідливе ПЗ зчитує облікові дані криптовалютних гаманців — що натякає на можливий паралельний фінансовий мотив поряд зі шпигунською місією.

На відміну від традиційного шпигунського ПЗ, DarkSword не закріплюється в системі. Інструмент використовує так звані «безфайлові» методи — підходи, більш характерні для атак на Windows-пристрої. Замість встановлення окремого шкідливого застосунку він перехоплює легітимні системні процеси iPhone. «Замість того щоб грубою силою проламувати файлову систему — що залишає безліч слідів, — цей інструмент просто використовує системні процеси так, як вони й мали використовуватися», — пояснив Коул. «І залишає значно менше артефактів».

Відсутність персистентності має й практичний наслідок: після перезавантаження пристрою інфекція зникає. Натомість DarkSword діє за принципом «вдарив і втік» — викрадає дані протягом кількох хвилин після проникнення в систему.

Зв’язок з російськими кібершпигунами та атаками на українські сайти

Виявлення DarkSword відбулося всього за два тижні після того, як стало відомо про інший набір інструментів злому — Coruna, який Google пов’язує з угрупованням, що фінансується російською державою. Хоча DarkSword, очевидно, розроблений іншими авторами, ті самі російські хакери використовували обидва інструменти. Як і Coruna, DarkSword було вбудовано в компоненти легітимних українських веб-сайтів — зокрема онлайн-видань та сайту державної установи — для збору даних із пристроїв відвідувачів.

Особливу стурбованість дослідників викликало те, що хакери залишили повний, нічим не захищений код DarkSword у відкритому доступі — разом із пояснювальними коментарями англійською мовою та самою назвою «DarkSword». «Будь-хто, хто вручну зібрав усі різні частини експлойта, може розмістити їх на власному веб-сервері та почати інфікувати телефони. Усе так само задокументовано. Це справді занадто просто», — заявив співзасновник iVerify Маттіас Фрілінгсдорф.

Хто стоїть за DarkSword і звідки він узявся

Автори DarkSword залишаються невідомими, однак дослідники впевнені: інструмент майже напевно створено не самими хакерами, що його застосували. Ймовірніше за все, його придбала брокерська компанія, що торгує хакерськими техніками. Показовою підказкою є зв’язок DarkSword із набором Coruna: видання TechCrunch повідомляло, що Coruna створено компанією Trenchant — дочірньою структурою американського державного підрядника L3Harris. Колишній співробітник Trenchant Пітер Вільямс минулого року визнав провину у продажі інструментів компанії російській брокерській фірмі Operation Zero, яку згодом внесли до санкційних списків США.

Хоча прямих доказів того, що DarkSword також пов’язаний із Trenchant або розроблявся для американського уряду, немає, його використання тими самими російськими хакерами, які предовірно придбали Coruna, вказує на можливий спільний канал збуту. Пізніше Coruna використали і кіберзлочинці — для крадіжки криптовалюти у жертв, що спілкуються китайською мовою, — що свідчить про готовність Operation Zero перепродавати свої продукти будь-якому покупцю.

Ринок хакерських інструментів: нова реальність загроз

Поява двох потужних інструментів злому iPhone майже одночасно сигналізує про зростання чорного ринку повторного продажу експлойтів, які раніше вважалися надзвичайно рідкісними. «Люди вважали, що це стосується лише журналістів, активістів або опозиційних політиків — і не загрожує звичайному громадянину. Тепер, коли iOS-експлойти розповсюджуються через безвідповідального брокера, весь цей ринок відкритий для кіберзлочинців», — зазначив Джастін Альбрехт, керівник напряму мобільної розвідки загроз у Lookout.

Роккі Коул з iVerify вказує на ще один тривожний сигнал: хакери використовували DarkSword відкрито, не намагаючись приховати інструмент на заражених сайтах. «Якщо цей згорить — просто піду й візьму інший. Вони знають, що є ще», — так Коул описує логіку зловмисників. Це свідчить про те, що інструменти злому iOS стали настільки доступними, що хакери готові витрачати їх безоглядно — навіть якщо це призведе до їхнього викриття.

Як захиститися

Найнадійніший захист — оновлення операційної системи до останньої версії iOS. Для цього перейдіть у «Налаштування» → «Основні» → «Оновлення ПЗ». DarkSword не зачіпає пристрої з актуальною версією iOS.

Додатки iVerify та Lookout здатні виявляти компрометацію пристрою через DarkSword у тій формі, в якій його було зафіксовано дослідниками. Apple та Google не надали коментарів щодо знахідки дослідників, окрім публікації у блозі Google.

Ця стаття DarkSword: російські хакери зламують iPhone на iOS 18 через звичайний перехід на сайт раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Кіберсвіт рясніє інцидентами, пов’язаними з безпекою. Хоча більшість кібератак вимагають спеціальної приманки для вторгнення в систему, невловиме безфайлове шкідливе програмне забезпечення існує поза мережею, інфікуючи та перепрограмовуючи законне програмне забезпечення для власних потреб.

Але як же атакує безфайлове шкідливе програмне забезпечення, якщо воно не використовує жодних файлів? Які найпоширеніші методи вони використовують? І чи можете ви захистити свої пристрої від безфайлових шкідливих програм?

Як атакує безфайлове шкідливе програмне забезпечення?

Безфайлове шкідливе програмне забезпечення атакує, використовуючи вже існуючі вразливості у встановленому програмному забезпеченні.

Поширеними прикладами є набори експлойтів, які використовують вразливості браузера, щоб змусити його запустити шкідливий код, використовуючи утиліту Powershell від Microsoft або макроси та скрипти.

Оскільки код для цих атак не зберігається у файлі і не встановлюється на комп’ютері жертви, він завантажує шкідливе програмне забезпечення безпосередньо в пам’ять за командою системи і миттєво запускається.

Відсутність виконуваних файлів ускладнює їх виявлення традиційними антивірусними рішеннями. Звісно, це робить безфайлове шкідливе програмне забезпечення ще більш небезпечним.

Типові методи, що використовуються безфайловими шкідливими програмами

Для запуску безфайловому шкідливому програмному забезпеченню не потрібен код або файли, але воно вимагає модифікації рідного середовища та інструментів, які намагається атакувати.

Ось кілька поширених методів, які використовує безфайлове шкідливе програмне забезпечення для атаки на пристрої.

Набори експлойтів

Експлойти – це фрагменти «експлуатованого» коду або послідовності. Експлойти є найкращим способом запуску безфайлової атаки, оскільки вони можуть бути впроваджені безпосередньо в пам’ять без необхідності записувати щось на диск.

Атака з використанням набору експлойтів запускається так само, як і звичайна атака, коли жертву заманюють за допомогою фішингових електронних листів або тактики соціальної інженерії. Більшість наборів містять експлойти для використання вже існуючих вразливостей в системі жертви, а також консоль керування, за допомогою якої зловмисник може контролювати її.

Шкідливе програмне забезпечення, що перебуває в пам’яті

Тип шкідливого програмного забезпечення, відомий як резидентне шкідливе програмне забезпечення в реєстрі, широко використовується в безфайлових атаках. Цей шкідливий код запрограмований на запуск щоразу, коли ви відкриваєте ОС, і залишається прихованим у власних файлах реєстру.

Після того, як безфайлове шкідливе програмне забезпечення встановлюється в реєстрі Windows, воно може залишатися там назавжди, уникаючи виявлення.

Шкідливе програмне забезпечення, що займає лише пам’ять

Цей тип шкідливого програмного забезпечення працює лише в оперативній пам’яті.

Зловмисники здебільшого використовують широко розповсюджені інструменти системного адміністрування та безпеки, зокрема PowerShell, Metasploit та Mimikatz, щоб впровадити свій шкідливий код у пам’ять вашого комп’ютера.

Викрадені облікові дані

Викрадення облікових даних для проведення безфайлової атаки дуже поширене явище. Викрадені облікові дані можна легко використати для атаки на пристрій під виглядом справжнього користувача.

Отримавши доступ до пристрою за допомогою викрадених облікових даних, зловмисники можуть використовувати вбудовані інструменти, такі як Windows Management Instrumentation (WMI) або PowerShell, для проведення атаки. Більшість кіберзлочинців також створюють облікові записи користувачів, щоб отримати доступ до будь-якої системи.

Приклади безфайлових атак

Безфайлове шкідливе програмне забезпечення існує вже досить давно, але як основна атака воно стало популярним лише в 2017 році, коли зловмисники створили набори, які інтегрують виклики до PowerShell.

Ось кілька цікавих прикладів безфайлового шкідливого ПЗ, про деякі з яких ви, без сумніву, чули.

The Dark Avenger

Це попередник безфайлових атак. Виявлений у вересні 1989 року, він вимагав файл як початкову точку доставки, але згодом працював всередині пам’яті.

Основною метою цієї атаки було зараження виконуваних файлів щоразу, коли вони запускалися на зараженому комп’ютері. Заражалися навіть скопійовані файли. Творець цієї атаки відомий як «Темний месник».

Frodo

Frodo не є безфайловою атакою в повному розумінні, але це був перший вірус, який завантажувався в завантажувальний сектор комп’ютера, роблячи його частково безфайловим.

Він був виявлений у жовтні 1989 року як нешкідливий жарт, метою якого було вивести на екрани заражених комп’ютерів повідомлення «Frodo Lives» («Фродо живе»). Однак через погано написаний код він насправді перетворився на руйнівну атаку для заражених ним комп’ютерів.

Операція Cobalt Kitty

Ця відома атака була виявлена в травні 2017 року і була проведена на систему однієї з азіатських корпорацій.

Скрипти PowerShell, які використовувалися для цієї атаки, були пов’язані із зовнішнім сервером управління, що дозволило запустити серію атак, в тому числі вірус Cobalt Strike Beacon.

Misfox

Ця атака була виявлена командою Microsoft Incident Response ще в квітні 2016 року. Вона використовує безфайлову методологію запуску команд через PowerShell, а також отримання постійного доступу через проникнення до реєстру.

Після того, як ця атака була виявлена командою безпеки Microsoft, до Захисника Windows було додано пакетне рішення для захисту від цього шкідливого програмного забезпечення.

WannaMine

Ця атака здійснюється шляхом майнінгу криптовалюти на хост-комп’ютері.

Вперше атака була помічена в середині 2017 року під час роботи в пам’яті без будь-яких слідів файлової програми.

Purple Fox

Purple Fox був створений у 2018 році як безфайловий троян-завантажувач, який потребував набору експлойтів для зараження пристроїв. Він з’явився в переконфігурованому вигляді з додатковим модулем хробака.

Атака ініціюється фішинговим електронним листом, в якому міститься корисне навантаження хробака, що автоматично сканує та заражає системи на базі Windows.

Purple Fox також може використовувати брутфорс-атаки, скануючи вразливі порти. Як тільки цільовий порт знайдено, він проникає в нього для розповсюдження інфекції.

Як запобігти безфайловому шкідливому програмному забезпеченню

Ми з’ясували, наскільки небезпечним може бути безфайлове шкідливе програмне забезпечення, особливо тому, що деякі програми для захисту не можуть його виявити. Наступні п’ять порад допоможуть запобігти будь-яким жанрам безфайлових атак.

1. Не відкривайте підозрілі посилання та вкладення

Електронна пошта є найбільшою точкою входу для безфайлових атак, оскільки наївних користувачів електронної пошти можна заманити, щоб вони відкрили шкідливі посилання.

Не переходьте за посиланнями, в достовірності яких ви не впевнені на 100 відсотків. Спочатку перевірте, куди веде URL-адреса, або з’ясуйте, чи можна їй довіряти, виходячи з ваших стосунків з відправником та змісту листа.

Також не слід відкривати вкладення, надіслані з невідомих джерел, особливо ті, що містять файли, які можна завантажити, наприклад, PDF-файли та документи Microsoft Word.

2. Не вимикайте JavaScript

JavaScript може бути значним фактором впливу для безфайлового шкідливого програмного забезпечення, але його повне вимкнення не допоможе.

Окрім того, що більшість сторінок, які ви відвідуєте, будуть або порожніми, або міститимуть відсутні елементи, у Windows також є вбудований інтерпретатор JavaScript, який можна викликати з веб-сторінки без необхідності використання JavaScript.

Найбільший недолік полягає в тому, що це може дати вам хибне відчуття безпеки від безфайлового шкідливого програмного забезпечення.

3. Вимкніть Flash

Flash використовує інструмент Windows PowerShell для виконання команд з командного рядка під час роботи в пам’яті.

Для належного захисту від безфайлового шкідливого програмного забезпечення важливо вимкнути Flash, якщо це не є необхідним.

4. Використовуйте захист браузера

Захист домашнього та робочого браузерів – це ключ до запобігання поширенню безфайлових атак.

Для робочого середовища створіть офісну політику, яка дозволяє використовувати лише один тип браузера на всіх робочих столах.

Дуже корисно встановити захист для браузерів, наприклад Windows Defender Application Guard. Це програмне забезпечення, що входить до складу Office 365, містить спеціальні процедури для захисту від безфайлових атак.

5. Впровадьте надійну автентифікацію

Основним винуватцем поширення безфайлового шкідливого програмного забезпечення є не PowerShell, а скоріше слабка система автентифікації.

Впровадження надійних політик автентифікації та обмеження привілейованого доступу за допомогою принципу найменших привілеїв (Principle Of Least Privilege, POLP) може значно знизити ризик безфайлового шкідливого програмного забезпечення.

Здолайте безфайлове шкідливе програмне забезпечення

Не залишаючи жодних слідів, безфайлове шкідливе програмне забезпечення використовує вбудовані «безпечні» інструменти вашого комп’ютера для здійснення атак.

Однак найкращий спосіб протистояти безфайловому або будь-якому іншому шкідливому програмному забезпеченню – це усвідомлення та розуміння різних методів, що використовуються для здійснення цих атак.

Ця стаття Що таке безфайлове шкідливе програмне забезпечення і як можна захиститися? раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Легенда про Того-Кого-Не-Можна-Називати може бути правдивою лише в книзі про Гаррі Поттера, але його вплив зумів вирватися в реальний світ. Не як чарівник, а як неприємне шкідливе програмне забезпечення. Але що таке безфайлове шкідливе програмне забезпечення Voldemort і як ви можете захиститися від нього?

Що таке безфайлове шкідливе програмне забезпечення?

Шкідливе програмне забезпечення Voldemort настільки неприємне через те, як воно працює. Це безфайлове шкідливе програмне забезпечення, що означає, що після активації воно не завантажує жодних додаткових файлів. Замість цього шкідливе програмне забезпечення завантажується безпосередньо в пам’ять комп’ютера. Звідти воно може миттєво запускатися, не вимагаючи введення даних, що ускладнює його виявлення антивірусними програмами.

Як працює шкідливе програмне забезпечення Voldemort?

Як повідомляє Proofpoint, атака Voldemort починається з шахрайського електронного листа, який розсилається компаніям. Цей лист видає себе за податковий орган країни одержувача і повідомляє, що відбулися зміни в подачі податкових декларацій. Жертву закликають перейти за посиланням, щоб дізнатися більше.

Після переходу за посиланням веб-сайт перевіряє, чи працює жертва під управлінням Windows. Якщо так, він завантажує на її комп’ютер LNK-файл і маскує його під PDF. Самі по собі LNK-файли не є шкідливими, але їх можна запрограмувати так, щоб вони вказували PowerShell на виконання зловмисних дій.

Цей конкретний LNK налаштований на запуск безфайлового шкідливого програмного забезпечення, яке збирає дані з цільового комп’ютера. Потім інформація надсилається до Google Таблиці, щоб хакери могли використовувати її на свій розсуд.

Як захиститися від шкідливого програмного забезпечення Voldemort

На щастя, захиститися від Voldemort досить просто. Швидше за все, ви зіткнетеся з ним, тільки якщо працюєте в бізнесі і обробляєте електронну пошту компанії.

Якщо ви отримали листа від людини, яка стверджує, що вона представляє податкову службу вашої країни, перевірте всі способи виявлення шахрайських або фішингових листів, перш ніж щось натискати.

Якщо ви випадково завантажили фальшивий PDF-файл, ви можете видалити його, не запускаючи шкідливе програмне забезпечення. Ви можете визначити, чи це підроблений PDF-файл, за маленькою «стрілкою швидкого доступу» внизу ліворуч від іконки. Звичайні PDF-файли не мають такої стрілки, тому що вони не є ярликом – вони справжні. Прихований LNK-файл, з іншого боку, вважається ярликом і має маленьку стрілочку.

Якщо ви випадково запустили фальшивий PDF-файл, ви можете спробувати запустити перевірку на шкідливе програмне забезпечення, щоб перевірити, чи не знайшов його ваш антивірус. Однак безфайлове шкідливе програмне забезпечення розроблене так, щоб бути максимально невидимим, тому найкраще зробити чисту інсталяцію операційної системи, щоб видалити його.

Шкідливе програмне забезпечення Voldemort, можливо, не таке потужне, як магічний темний володар, але воно все одно досить неприємне, а найгірше те, що воно реальне. На щастя, якщо ви не втрачаєте пильність, ви можете від нього захиститися.

Ця стаття Атака Voldemort запускає безфайлове шкідливе програмне забезпечення раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня