Эксперты Positive Technologies изучили вредоносный сервис Crypters And Tools

Специалисты департамента Threat Intelligence экспертного центра безопасности Positive Technologies провели анализ криптора Crypters And Tools, который активно применяли кибергруппировки PhaseShifters, TA558 и Blind Eagle в своих атаках на организации по всему миру, включая Россию. Исследование показало, что хакеры использовали этот инструмент для маскировки вредоносного ПО, а доступ к сервису предоставлялся по подписке (crypter as a service, CaaS).

Эксперты Positive Technologies впервые обратили внимание на Crypters And Tools во время расследования атак группировки PhaseShifters на отечественные организации в 2024 году. Хакеры использовали этот сервис для создания загрузчиков — специальных программ, которые тайно доставляют на компьютер жертвы вредоносное ПО. Криптор позволяет маскировать опасные файлы и затруднять их анализ с помощью специальных методов шифрования, упаковки и обфускации — намеренного усложнения кода.

Специалисты изучили связанные с криптором социальные сети и выяснили, что под разными названиями Crypters And Tools существует как минимум с лета 2022 года. Исследователи пришли к выводу, что разработчик вредоносного инструмента, вероятнее всего, находится в Бразилии. На это указывают фрагменты кода на португальском языке, обучающие видео автора, на которых видны его IP-адреса, а также электронные письма о выводе с криптобиржи бразильских реалов и упоминание CPF — аналога индивидуального номера налогоплательщика в Бразилии.

«Crypters And Tools упрощает проведение атак, маскируя загрузчики Ande Loader, которые скрываются в картинках и внедряются в легитимные процессы Windows, — уточняет Климентий Галкин, специалист группы киберразведки TI-департамента экспертного центра безопасности Positive Technologies. — Это часть тренда: рынок киберпреступности растет и подобные инструменты становятся все популярнее и доступнее».

География атак с использованием Crypters And Tools в основном включает страны Восточной Европы, Латинской Америки, Россию и США. Например, схожие техники обфускации и вредоносное ПО использовала группировка Blind Eagle в кампаниях 2023–2024 годов, нацеленных на предприятия обрабатывающей промышленности Северной Америки. Всего с момента основания сервиса в 2022 году специалисты Positive Technologies выявили около 3000 файлов, созданных с его помощью.

Чтобы получить доступ к Crypters And Tools, необходимо оплатить подписку и войти в панель управления. Далее хакеру нужно указать в специальном поле URL-адрес с вредоносными файлами и настроить ряд параметров. Например, тип загрузчика, способ закрепления в системе, насколько сильно нужно обфусцировать код и под какой легитимный процесс замаскировать свою активность.

Проведённое Positive Technologies исследование рынка киберпреступности также указывает на рост популярности среди злоумышленников готового вредоносного ПО, такого как Crypters And Tools. Для противодействия подобным угрозам организациям следует использовать современные средства анализа сетевого трафика, защиты конечных точек и обучать сотрудников распознавать попытки атак, основанные на социальной инженерии.