Новый ботнет Tsundere использует блокчейн и атакует пользователей Windows 🎹 Малварь распространяется под видом установщиков популярных игр, таких как Valorant и CS2. Заражения происходят через MSI-установщик или напрямую через PowerShell-скрипты. После заражения система становится частью ботнета, способного непрерывно выполнять JavaScript-код. Особенность угрозы в том, что она использует блокчейн Ethereum для управления своей инфраструктурой, что делает её крайне живучей. Чтобы сменить командный центр, операторы просто совершают транзакцию на 0 ETH, записывая новый адрес в блокчейн. Боты постоянно мониторят блокчейн через публичные RPC-ноды и автоматически переключаются на актуальный адрес. Это значит, что даже если один сервер заблокировать, ботнет мгновенно восстановит управление через резервные каналы. Интересно, что ботнет старается избегать стран СНГ, а основной целью атак являются Мексика и Чили. С большой долей вероятности разработчики ботнета Tsundere являются русскоязычными. На это в том числе указывают элементы кода. Кроме того, исследование выявило связь между ботнетом Tsundere и стилером 123 Stealer. Обе угрозы используют общую инфраструктуру и связаны с пользователем koneko, который скромно позиционирует себя как «старший разработчик node-зловредов». Типичный 🥸 Сисадмин