В Сети обнаружен новый вариант Citadel

Несколько месяцев назад создатель Citadel был осужден. Примерно в это же время в сети появился новый вариант Citadel – Atmos. С конца 2015 года Atmos используется в атаках на французские финансовые учреждения.

Согласно данным Heimdal Security, Atmos заражает жертв вредоносным ПО Teslacrypt. Поскольку он полностью основан на Citadel, для заражения жертв используются те же методы. Злоумышленники внедряют вредоносный код на страницы web-сайтов.

Согласно анализу экспертов, вредонос обращается к следующим адресам для получения зашифрованных конфигурационных файлов:

• http://caras1tycu4tion[.]com/aksasdfw1qizjxnhquw/f-asdhqwdjauqo.php
• http://stata55worldosmat[.]info/aksasdfw1qizjxnhquw/f-asdhqwdjauqo.php
• http://opahdiqwqweqkweklnasd[.]com/aksasdfw1qizjxnhquw/f-asdhqwdjauqo.php

Размер ботнета в настоящий момент насчитывает около 1000 хостов, а C&C серверы распложены на территории Вьетнама, Канады, Украины, России, США и Турции.

После попадания на систему, дроппер обращается к одному из нижеперечисленных адресов для загрузки вредоноса:

• http://iguana58[.]ru/plugins/system/anticopy/adobe[.]exe
• http://tehnoart[.]co/sr[.]exe
• http://3dmaxkursum[.]net/tmp/sys/config[.]exe
• http://iguana58[.]ru/plugins/system/anticopy/adobe[.]exe
• http://mareikes[.]com/wp-includes/pomo/svhost[.]exe
• http://mareikes[.]com/wp-includes/pomo/server[.]exe

По данным VirusTotal , 25 из 57 антивирусов способны обнаружить вредонос, что является неплохим результатом.