Исследователи обнаружили образец криптора в рамках расследования атак группировки PhaseShifters на российские компании и госучреждения
Специалисты департамента Threat Intelligence экспертного центра безопасности Positive Technologies провели анализ криптора Crypters And Tools, который активно применяли кибергруппировки PhaseShifters, TA558 и Blind Eagle в своих атаках на организации по всему миру, включая Россию. Исследование показало, что хакеры использовали этот инструмент для маскировки вредоносного ПО, а доступ к сервису предоставлялся по подписке (crypter as a service, CaaS).
Эксперты Positive Technologies впервые обратили внимание на Crypters And Tools во время расследования атак группировки PhaseShifters на отечественные организации в 2024 году. Хакеры использовали этот сервис для создания загрузчиков — специальных программ, которые тайно доставляют на компьютер жертвы вредоносное ПО. Криптор позволяет маскировать опасные файлы и затруднять их анализ с помощью специальных методов шифрования, упаковки и обфускации — намеренного усложнения кода.
Специалисты изучили связанные с криптором социальные сети и выяснили, что под разными названиями Crypters And Tools существует как минимум с лета 2022 года. Исследователи пришли к выводу, что разработчик вредоносного инструмента, вероятнее всего, находится в Бразилии. На это указывают фрагменты кода на португальском языке, обучающие видео автора, на которых видны его IP-адреса, а также электронные письма о выводе с криптобиржи бразильских реалов и упоминание CPF — аналога индивидуального номера налогоплательщика в Бразилии.
