Вирус с переписанным кодом умело обходит традиционные средства защиты.
Вредоносное ПО Chaes, широко известное хищением финансовой информации у пользователей электронной коммерции в Латинской Америке, претерпело серьёзные изменения и вернулось в строй, сообщает компания Morphisec.
«Chaes был полностью переписан на языке Python, что позволило снизить вероятность обнаружения традиционными системами защиты. Также был переработан протокол связи с командным сервером», — отмечают эксперты.
По данным Morphisec, обновлённая версия вируса, получившая название «Chae$ 4», была обнаружена в январе 2023 года. Заражение по-прежнему происходит через взломанные сайты, где пользователям предлагается скачать вредоносный инсталлятор.
После запуска на компьютер жертвы Chaes устанавливает соединение с командным C2-сервером и загружает дополнительные модули для сбора конфиденциальных данных. Модуль «Chronod», например, перехватывает введённые в браузере логины и пароли, а также данные платежей в криптовалютах.
«Новая версия вируса ориентирована на хищение данных пользователей таких сервисов, как Mercado Libre, Mercado Pago и WhatsApp. Особое внимание уделяется перехвату платежей через бразильскую платёжную систему PIX», — подчёркивает Morphisec.
Эксперты отмечают, что использование протокола DevTools для подключения к браузеру позволяет злоумышленникам получить расширенный доступ к его функционалу.
«Широкий спектр возможностей, предоставляемых этим протоколом, даёт атакующим полный контроль над браузером — запуск скриптов, перехват сетевых запросов, чтение тела POST-запросов до их шифрования и многое другое», — поясняют в Morphisec.
Для обеспечения постоянства в заражённой системе Chaes использует задачи планировщика Windows. Вирус работает в бесконечном цикле, ожидая команд от командного сервера.
Ещё одним нововведением стало изменение ярлыков для запуска веб-браузеров. В результате вместо браузера на самом деле запускается вышеупомянутый модуль Chronod, который и перехватывает вводимые данные.
Таким образом, обновлённый Chaes представляет повышенную опасность и обладает расширенными возможностями по хищению конфиденциальных данных.
Эксперты рекомендуют пользователям проявлять повышенную бдительность при работе с финансовыми приложениями и использовать надёжные средства защиты для блокировки новых модификаций вируса Chaes и прочих угроз.
Источник: securitylab
