Digler

Digler — это инструмент для криминалистического анализа дисков и восстановления файлов. Он разработан, чтобы помочь вам восстановить потерянные или удалённые данные с различных образов дисков и устройств RAW.

Несмотря на то, что существует множество инструментов для восстановления данных, лишь немногие из них сочетают в себе простоту, гибкость и современный дизайн с глубоким анализом диска и эффективным удалением файлов.
Созданный на Go, Digler использует сильные стороны этого языка в плане производительности, кроссплатформенной поддержки и удобства обслуживания, чтобы предоставить быстрое и надежное решение для современных задач по восстановлению данных.

📕Характиристики:
1️⃣Широкая поддержка образов дисков и необработанных устройств: анализируйте широкий спектр форматов образов дисков (.dd, .img и т. д.) или обращайтесь напрямую к физическим дискам.

2️⃣Анализ, не зависящий от файловой системы: восстанавливайте удалённые файлы независимо от используемой файловой системы (например, NTFS, FAT32, ext4), даже при потере метаданных.

3️⃣Расширяемость с помощью плагинов: поддержка пользовательских сканеров файлов через плагины, упрощающая интеграцию с новыми форматами файлов.

4️⃣Возможности составления отчётов: создавайте подробные отчёты в формате Digital Forensics XML (DFXML) о восстановленных данных и результатах анализа.

5️⃣Восстановление данных после сканирования: используйте созданные отчёты DFXML для точного восстановления определённых файлов.

💻Установка:

git clone https://github.com/ostafen/digler.git

cd digler/bin

📌Запуск:
Сканирование дискогого образа или устройства:

./digler-linux-amd64 scan <ОБРАЗ_ИЛИ_УСТРОЙСТВО>

Монтировать результаты сканирования как файловую систему:

./digler-linux-amd64 mount <ОБРАЗ_ИЛИ_УСТРОЙСТВО> <ОТЧЁТ.xml> --mountpoint /mnt

Восстановление файлов на основе отчета о сканировании:

./digler-linux-amd64 recover <ОБРАЗ_ИЛИ_УСТРОЙСТВО> <ОТЧЁТ.xml> --dir /path/to/dir

Эксперты Лаборатории Касперского провели сложную атрибуцию и обнаружили коммерческое ВПО уровня спецслужб Dante.

В марте 2025 года специалисты Лаборатории Касперского выявили волну заражений, происходивших сразу после того, как жертва открывала персонализированную фишинговую ссылку, полученную по электронной почте. Эта атака проводилась APT-группой ForumTroll и использовала уязвимость нулевого дня в браузере на базе Chromium CVE-2025-2783.

Цепочка атаки
💬Заражение происходило после того, как жертва переходила по ссылке из фишингового письма и попадала на вредоносный веб-сайт, который проводил ряд проверок и запускал эксплойт, а позже шпионское ПО LeetAgent.

1️⃣Перед запуском эксплойта скрипт проводил ряд проверок для того чтобы убедиться, что сайт открыт в реальном браузере реальным пользователем, а не почтовым сервером, который может перейти по ссылке, произвести эмуляцию скрипта и загрузить настоящий эксплойт. Результаты проверки валидатор отправлял на C2-сервер вместе с идентификатором инфекции и сгенерированным публичным ключом.

2️⃣Закрепление в системе происходило при помощи техники Component Object Model (COM) hijacking. В ее основе лежат особенности порядка поиска объектов COM в системе. Злоумышленник использовали ее для подмены записей CLSID библиотеки twinapi.dll и для того, чтобы заставить системные процессы и браузеры загружать вредоносную DLL, которая является загрузчиком LeetAgent.

3️⃣Шпионское ПО LeetAgent получило свое название, так как всего его команды написаны на Leet, что является редким явлением среди ВПО. Вредоносное ПО подключается к одному из серверов C2, указанных в конфигурации, и использует протокол HTTPS для получения и выполнения команд, идентифицируемых уникальными числовыми значениями. Кроме того, в фоновом режиме выполняет задачи по отслеживанию нажатий клавиш и краже файлов.

📕Атрибуция Dante
🔴Эксперты проследили активность LeetAgent до первого использования в 2022 году и обнаружили другие атаки APT-группы ForumTroll на организации и частных лиц в России и Беларуси.

🔴Изучив это ранее шпионское ПО, специалисты пришли к выводу, что это коммерческое шпионское ПО Dante, разработанное итальянской компанией Memento Labs (бывшая Hacking Team).

Hacking Team (или HackingTeam) — один из старейших и самых известных поставщиков шпионского ПО. Компания была основана в 2003 году и стала известна благодаря шпионскому ПО Remote Control Systems (RCS), которым пользовались государственные органы по всему миру, и его противоречивой репутации.

Ниже представлены некоторые характеристики Dante:
🔴Упакована с помощью VMProtect, который обфусцирует поток управления, скрывает импортированные функции и добавляет проверки на запуск в отладочной среде. Также использует распространенные методы обнаружения дебаггеров.

👀Для защиты от обнаружения Dante ищет в логах событий Windows события, которые могут указывать на использование инструментов анализа или виртуальных машин (на уровне хоста или гостя).