Гостев из будущего

Исследователи Hudson Rock обнаружили, что компьютер северокорейского хакера-разработчика, связанного с крупнейшим взломом криптобиржи ByBit (там пропало около $1,4 млрд), оказался… заражён обычным инфостилером Lumma. Как обнаружили? Разбирали логи инфостилера, полученные вероятно с какого-то подломанного сервера управления. На машине нашлось всё как по учебнику: Visual Studio Pro, Enigma Protector, VPN (конкретно упоминается Astrill VPN), приложения для общения и управления инфраструктурой (Slack, Telegram, Dropbox и др.), структура папок Dropbox указывает на то, что данные (возможно — украденные) загружались туда. Также есть свидетельства, что эта машина использовалась для подготовки фишинговых атак и создания поддельных установщиков (например, «фейковый Zoom») — домены вроде callapp. us, callservice. us и поддомены вида zoom.callapp. us регистрировались, чтобы выдать вредоносное ПО за легитимное приложение. И вот вишенка на торте. Среди похищенных инфостилером учётных данных оказался e-mail trevorgreer9312@gmail. com. В феврале Silent Push уже упоминали этот адрес в расследовании: через него регистрировали домен bybit-assessment. com — созданный буквально за несколько часов до взлома ByBit. Задача домена — притворяться страницей поддержки биржи и обслуживать инфраструктуру атаки. При этом важно понимать: человек, чей компьютер заразился Lumma, вполне может быть всего лишь одним звеном цепочки, а не «тем самым» исполнителем ограбления на полтора миллиарда долларов. Ну а Hudson Rock так воодушевились находкой, что создали виртуальный эмулятор заражённой машины — что даёт редкую возможность самостоятельно изучить все описанные артефакты! @gostev_future