Канадские правоохранительные органы провели обыск у разработчика Orcus RAT

Рекомендуем почитать:

Xakep #240. Ghidra

• Содержание выпуска
• Подписка на «Хакер»

С 2015 года компания Orcus Technologies продает и рекламирует инструмент удаленного доступа (Remote Administration Tool) Orcus, однако ИБ-специалисты давно отмечают, что многие его функции скорее присущи малвари, а не легальному коммерческому продукту. По этой же причине Orcus весьма любим киберпреступниками, которые давно и успешно используют его как троян удаленного доступа (Remote Access Trojan).

Так, Orcus может использоваться для исполнения кода C# и VB.net в реальном времени, активации микрофона и камеры (причем диод камеры можно выключить, чтобы пользователь ничего не заметил), извлечения паролей с устройства и перехвата нажатий клавиш. Кроме того, Orcus оснащен плагином для DDoS-атак, а для защиты способен спровоцировать появление BSOD, если кто-то пытается ликвидировать его процесс.

Известный ИБ-журналист и исследователь Брайан Кребс (Brian Krebs) сообщил о том, что в конце марта 2019 года канадские правоохранители провели обыск у разработчика RAT Джона Ревеса (John Rezvesz), также известного в сети как Armada.

В опубликованном на Pastebin сообщении сам Ревес пишет, что во время обыска у него изъяли несколько жестких дисков с данными о бизнесе и операциях Orcus Technologies. В числе прочего на этих накопителях была информация о пользователях, включая их юзернеймы и настоящие имена, а также данные о финансовых транзакциях. По информации Ревеса, канадские правоохранители заняты международным расследованием, в котором также участвуют власти США, Германии, Австралии и, вероятно, других стран. Разумеется, расследование связано с троянами удаленного доступа.

Разработчик подчеркивает, что власти не получили доступ к базе пользователей и лицензий, а также его основные рабочие ноутбук и планшет. Невзирая на это, Ревес предупредил всех пользователей Orcus (как лицензионных, так и взломанных версий), что RAT более не может считаться безопасным решением, и им стоит как можно скорее озаботиться переходом на другой инструмент для удаленного доступа. Дело в том, что самого Ревеса уже официально попросили воздержаться от посещения Hackforums и других связанных с Orcus сайтов.

Источник