НеИБи

Комет на безопасности Неофициальный клиент MAX под названием Komet снова появился в Google Play. Разработчики позиционируют его как более приватную альтернативу официальному приложению: без трекеров, с дополнительным шифрованием и открытым исходным кодом. В этой новости можно вычленить сразу несколько проблем. Первая и самая очевидная заключается в том, что вокруг любого подобного клиента сразу возникает рынок подделок. Пользователю достаточно поискать «Komet скачать» и он сразу рискует попасть не на оригинал, а на копию с тем же названием, логотипом и парой лишних разрешений. В итоге вместо более приватного мессенджера пользователь ставит себе троян, который читает SMS, перехватывает коды из банков и получает доступ к контактам. Ну и парсинг переписке в MAX соответственно. Отдельный вопрос обещанное «шифрование». Даже если оригинальный Komet действительно шифрует что-то на устройстве, сообщения все равно проходят через серверы MAX. Это не end-to-end-шифрование в привычном смысле, и обещание, что «майор увидит только бред», пока больше похоже на маркетинг, чем на проверенную криптографию. Есть и менее очивидная проблема. Если заявленная анонимность действительно работает, то тут полностью теряется логика «доверенности» MAX. То есть потенциально клиент позволяет создавать фейковые аккаунты, подменять данные сессии или маскироваться под официальное приложение. Мошенник сможет заводить десятки аккаунтов, рассылать фишинг, а потенциально даже выдавать себя за знакомых или сотрудников банков. В общем ждем интересных историй в самом безопасном мессенджере, ловящем даже на парковке. В общем все это выглядит не очень полезно для богоспасаемой компании VK. В такой среде мошеннику не нужно ничего изобретать, а достаточно вовремя подсунуть пользователю «правильную» ссылку. Хотелось бы услышать позицию ИБ-специалиста национального мессенджера по этому поводу. Правда учитывая, что он не смог разобраться с презентацией на недавнем РКНовском форуме, придется подождать видимо. @antiinfosec

Вредоносный мем Check Point Research обнаружили кампанию с забытым в рунете мемом «Yoba». Приманка тут десктопные приложения GPT-5.6 Sol, GPT-6 Astra и Claude Opus, которые выкладываются как поддельные GitHub-проекты. С накруткой звезд или форками атакующие не запаривались, использовали старую добрую SEO-оптимизацию. Основная техника тут DLL sideloading. Внутри архива лежит легитимный подписанный исполняемый файл OpenAI или Anthropic (Setup.exe), рядом с которым размещена вредоносная winmm.dll. Dropper в ней содержит 180 экспортов, но только DllEntryPoint несет реальный код, остальные экспорты заменены на заглушки. Перед запуском полезной нагрузки dropper проверяет не в песочнице ли он (по хешу DJB2). Если проверка не проходит, DLL улетает в режим ожидания примерно на 12 дней, имитируя безвредное поведение. Дополнительно проверяется раскладка клавиатуры, чтобы исключить системы в странах СНГ, причем украинский ID обрабатывается отдельно. Также вредонос поселяется в System32. Затем через планировщика задач создается задание с автором Microsoft Corporation и описанием о сборе метаданных для Windows Media Player, которое запускается от Local System с задержкой в три минуты после старта системы. Потом во второй стадии еще раз проверка на песочницу от другого exe. Причем обе стадии ищут нужные функции Windows не по названиям, а по числам, которые получаются из названий. Но и считают они эти числа с разными начальными значениями. Поэтому одна и та же функция в первой и второй стадии даст разные числа. И это мощно так запутывает форензику. Сеть при этом строится, как сейчас модно без C2, загрузчик расшифровывает URL Telegram-канала t[.]me/yoba_fanclub (создан 15 мая), скачивает изображение профиля и берет его последние 50 байт как сид для DGA. Домен генерируется по шаблону adjective-noun-verb-digit.dedyn[.]io, поэтому смена аватарки канала автоматически меняет управляющий домен. Запросы летят через DNS over HTTPS к dns.google. Будто этого было мало загрузчик еще выстраивает новый svchost.exe (как в старые добрые), где вредонос работает через локальный Tor SOCKS5-прокси с TLS на onion-адрес и майнит. Разумеется там прикручены все необходимые паузы для скрытности. А вообще YobaLoader может загрузить потом любой другой PowerShell-загрузчик, не только майнер. Забавно, конечно, что забытый мем из древнего рунета всплыл в отчете уважаемых исследователей. Да и сам вредонос выполнен достойно. @antiinfosec