Rhadamanthys infostealer е нарушен откако сајбер криминалците го загубиле пристапот до серверите

Операцијата на Rhadamanthys infostealer е нарушена, при што бројни „клиенти“ на малверот како услуга (malware-as-a-service) пријавиле дека повеќе немаат пристап до своите сервери.

Rhadamanthys е инфостилер малвер кој краде акредитиви и колачиња за автентикација од прелистувачи, е-пошта клиенти и други апликации. Најчесто се дистрибуира преку кампањи претставувани како софтверски крекови, видеа на YouTube или злонамерни реклами во пребарувачите.

Малверот се нуди преку модел на претплата, каде сајберкриминалците му плаќаат на развивачот месечна такса за пристап до малверот, поддршка и веб-панел што се користи за собирање на украдените податоци.

Според истражувачите за сајбербезбедност познати како g0njxa и Gi7w0rm, кои и двајцата ги следат оперативите на малвери како Rhadamanthys, се пријавува дека сајберкриминалците вклучени во операцијата тврдат дека полицијата добила пристап до нивните веб-панели.

Во објавата на еден хакерски форум, некои клиенти велат дека го загубиле SSH пристапот до своите Rhadamanthys веб-панели, кои сега бараат сертификат за најава наместо вообичаената root лозинка.

„Ако вашата лозинка не може да се најави. Методот за најава на серверот исто така е променет во режим на најава со сертификат, ве молам проверете и потврдете, ако е така веднаш рехостирајте го серверот, избришете траги, германската полиција дејствува,“ напишал еден од клиентите.

Друг претплатник на Rhadamanthys тврдел дека има истите проблеми, при што SSH пристапот до нивниот сервер сега исто така бара најава со сертификат.

„Потврдувам дека гости посетиле мојот сервер и лозинката е избришана. Најавата на rootServer стана строго базирана на сертификат, па морав веднаш да го избришам сè и да го исклучам серверот. Оние кои го инсталирале рачно веројатно останале неоштетени, но оние кои го инсталирале преку „smart panel“ беа сериозно погодени,“ напишал друг претплатник.

Порака од развивачот на Rhadamanthys вели дека тие веруваат дека германската полиција стои зад прекинот, бидејќи веб-панелите хостирани во ЕУ дата-центри покажувале германски IP-адреси кои се најавувале пред сајберкриминалците да го изгубат пристапот.

G0njxa изјави за BleepingComputer дека Tor onion сајтовите за операцијата на малверот се исто така офлајн, но моментално нема банер за заплена од полиција, па не е јасно кој точно стои зад прекинот.

Повеќе истражувачи кои зборувале со BleepingComputer веруваат дека овој прекин може да е поврзан со претстојно соопштение од Operation Endgame, тековна акција на полицијата насочена кон операции на малвери како услуга (malware-as-a-service).

Operation Endgame стои зад бројни прекини од своето лансирање, вклучувајќи ги инфраструктурите за рансомвер, како и операции со малвери како AVCheck, SmokeLoader, DanaBot, IcedID, Pikabot, Trickbot, Bumblebee, Smokeloader и SystemBC.

Веб-страницата на Operation Endgame моментално покажува тајмер што укажува дека нови активности ќе бидат објавени во четврток.

BleepingComputer контактираше со германската полиција, Europol и FBI, но засега не добиле одговор.

Извори:

• Bleeping Computer – Rhadamanthys infostealer disrupted as cybercriminals lose server access Bleeping Computer