Международна полицейска операция прекрати дейността на Qakbot

Представители на полицейски и разузнавателни служби от множество страни успяха да прекратят дейността на QakBot (познат също, като QBot, QuackBot или Pinkslipbot) – огромен ботнет, който е активен от 2008 година. Появил се като зловредна програма, която краде банкова и финансова информация, Qakbot еволюира до програма, използвана за първоначален взлом и „помощник“ за вторична зараза със странични зловредни програми (или т.нар. loader), най-често рансъмуер, както и ботнет, организиращ инфектираните системи в армия от „зомби компютри“. The Record привежда това, че от 2008 година, Qakbot е виновен за инфектирането на над 700 000 устройства по целия свят, кражбата на пари, криптирането на системи чрез криптовируси, множество спам кампании и др. Но по-рано този месец, Федералното бюро за разследвания на САЩ, американското правосъдно министерство, полицейски служби и агенции от Франция, Германия, Великобритания, Нидерландия, Румъния и Латвия са успели да деактивират напълно компютърната инфраструктура на ботнета и да премахнат зловредната програма от множество системи.

QakBot се явява една от най-големите зловредни програми днес. Наскоро публикуван доклад на ReliaQuest посочи, че Qbot днес е най-използваната програма за първоначално заразяване. Делът ѝ тук е 30% от всички регистрирани случаи на киберпрестъпления.

Обикновено QakBot идва с фишинг имейл писма, в които има прикачен файл (или хипервръзка) и различни примамки – изпратени разписки, спешни поръчки, извлечение от бизнес документи и др. Ако жертвата отвори файла/последва връзката (PDF или OneNote файлове, HTML скриптове), зловредната програма използва различни методи да си осигури трайно присъствие в системата чрез промяна на регистрови стойности и задаване на насрочени задачи, а след това започва комуникация с командния си сървър. Третият етап обикновено се заключава в изтеглянето и стартирането на странична зловредна програма – обикновено инструменти за осъществяване на отдалечен достъп, заедно с Cobalt Strike.

„Това разследване изведе от строя широко разпространена зловредна програма, която е станала причина за значителни щети на жертви във Великобритания и по целия свят. Qakbot се явява значим участник в киберпрестъпната екосистема, виновен за множество рансъмуер атаки и други сериозни заплахи“, споделя за пресата шефът на киберзвеното към Националната агенция за борба с престъпността на Великобритания. От министерството на правосъдието на САЩ, от своя страна, нарекоха Операция „Дък хънт“ – каквото име ѝ е било дадено – най-големият във финансово и техническо отношение удар, нанасян към ботнет инфраструктура, спомогнала за доставянето на рансъмуер, извършването на финансови измами и други киберпрестъпни действия. Ботнетът се използва активно от киберпрестъпните групи, разпространяващи рансъмуер заплахи от семействата на REvil, Black Basta, Conti, Egregor и MegaCortex. По данни на ФБР, Qakbot е нанесъл щети в размер на стотици милиони долари в загуби на жертвите си, а в същото време, операторите на ботнета само в периода октомври 2021 и април 2023 са получили откуп от жертвите си в размер на $58 милиона. В официалните прес-релийзи на участниците в операцията не е упоменато дали са извършени арести.