Малварь IcedID, или же Bokbot, уверенно входит в переводовой а | SecAtor
Малварь IcedID, или же Bokbot, уверенно входит в переводовой арсенал киберподполья, позиционируясь эффективной заменой ликвидированного в январе этого года ботнета Emotet.
IcedID впервые был обнаружен в 2017 году как классический банковский троян. Первоначально малварь применялся в ходе спамрассылок на электронную почту с вредоносным вложением под документы Office, полезная нагрузка позволяла красть данные учетных записей онлайн-банкинга и выводить средства со счетов клиентов.
Позже рентабельнее стало запилить малварь по модели «вредоносное ПО как услуга» (MaaS), IcedID был конфигурирован в «загрузчик», предоставляя возмездный доступ к зараженным компьютерам другим преступным группировкам.
К этому времени лидирующее положение на рынке MaaS занимал Emotet благодаря большому набору функций, быстрому циклу разработки и высокому уровню заражения, однако правоохранители решили иначе и в январе 2021 свернули его активность.
В поисках альтернативы для обеспечения доступа к зараженным компьютерам и корпоративным сетям кибергруппы оперативно переориентировались на аналоги Dridex, Trickbot и Qakbot. Но оказывается, судя по последним отчетам инфосек-компаний, реальным преемником Emotet становится именно IcedID, о чем уже заявили Binary Defense, Check Point, Cyjax и даже в Microsoft.
За последнее время малварь резко набрал и диверсифицировал методы доставки для распространения своей полезной нагрузки, с легкостью достигнув уровня сложности своих MaaS-конкурентов. Среди них: компрометация форм обратной связи, использование электронных таблиц Excel (XLS), содержащих вредоносные макрос-скрипты Excel 4.0 XLM, защищенные паролем файлов ZIP, скрывающие вредоносные файлы Word и Excel, поддельные установщики программного обеспечения, маскирующие вредоносные электронные таблицы XLS и Word Файлы GZIP и др.
«Широкий ассортимент» IcedID указывает на его активное задействование сразу несколькими группами в качестве дроппера.
Эффективная полезная нагрузка позволяет злоумышленникам использовать его в качестве плацдарма для атаки на другие сегменты корпоративных сетей и расширения доступа. Поэтому не удивительно, почему Maze/Egregor так плодотворно юзали IcedID, получая доступ к корпоративным сетям для кражи данных и шифрования файлов, пока их не прикрыли.
Новые перспективы для IcedID открывают участившиеся атаки с его использованием для развертывания REvil (Sodinokibi), в связи с чем многие компании уже пересмотрели свое видение обновленного ландшафта угроз, а если не успели - по всей видимости, отреагируют по факту, когда в конечном итоге столкнутся с требованиями многомиллионного выкупа.
