APT37 использовала встречу представителей КНДР и Донбасса как приманку

APT37 использовала встречу представителей КНДР и Донбасса как приманку

APT37 использовала встречу представителей КНДР и Донбасса как приманку

В Fortinet проанализировали недавнюю имейл-атаку, в ходе которой на машины Windows загружался RAT-инструмент Konni. Вредоносные сообщения были написаны на русском языке и имитировали переписку между российскими дипломатами.

Инструмент удаленного администрирования Konni зачастую использует APT37, она же Ricochet Chollima, InkySquid, ScarCruft, Reaper и Group123. Для его засева северокорейские хакеры и ранее использовали спам-рассылки и похожую схему доставки, поэтому аналитики с большой долей уверенности приписали новую атаку этой APT-группе.

Вредоносные письма незамысловаты и призваны создать видимость официальной переписки. С этой целью злоумышленники сфальсифицировали адрес отправителя и использовали форму ответа на некое предыдущее послание.

 

Примечательно, что вложение поименовано с использованием латиницы. Анализ показал, что zip-архив содержит два файла — Pyongyang in talks with Moscow on access to Donbass.pptx и Donbass.ppam.

Первый служит ширмой: в набор слайдов включены сообщения о встрече высокопоставленных представителей КНДР, ДНР и ЛНР, которая состоялась в прошлом месяце в Москве. Все новости взяты из открытых англоязычных источников, два слайда содержат только текст на русском языке. Все ссылки в этих новостях ведут на легитимные сайты; подозрительного контента в pptx-файле не обнаружено.

Вредоносным оказался Donbass.ppam (файл плагина Microsoft PowerPoint). При его открытии запускается макрос, который прежде всего выводит диалоговое окно с сообщением об ошибке:

 

Используя приглашение командной строки, вредонос помещает большой фрагмент шифротекста (base64) в файл oup.dat и сохраняет его в папке %TMP%. Расшифровка осуществляется с помощью Certutil, итог записывается в файл oup.vbs, с сохранением в %LOCALAPPDATA%\Microsoft\Office.

Скрипт VBS выполняет две задачи: создает запланированное задание Office Updatev2.2, чтобы обеспечить свой запуск каждые пять минут, и выполняет PowerShell-команду на сбор и отправку системных данных в домен gg1593[.]c1[.]biz. Командный сервер злоумышленников, расположенный в Болгарии, уже недоступен, поэтому добыть образец Konni для анализа специалистам не удалось.

Переписки с DeepSeek попали в поисковую выдачу Google

Переписки пользователей с китайским ИИ-сервисом DeepSeek, включая русскоязычные, обнаружились в выдаче Google. Чтобы заглянуть в чужие разговоры с нейросетью, достаточно специального поискового запроса.

Речь идёт о страницах Shared Conversations — диалогах, которыми сами пользователи поделились по публичным ссылкам.

На таких страницах видны все вопросы и ответы, а также названия загруженных документов, убедился корреспондент ТАСС. Скачать сами файлы, в том числе через код страницы, журналистам не удалось.

В MWS AI считают, что новой утечки здесь нет. По словам представителей компании, ещё год назад поисковики проиндексировали тысячи публичных диалогов с чат-ботами. Сообщений о взломе DeepSeek или получении доступа к закрытой истории переписок тоже не появлялось.

Вероятнее всего, в поисковую выдачу попали старые либо намеренно опубликованные страницы. Получить через них доступ к аккаунту владельца или его закрытым чатам нельзя. Иными словами, DeepSeek не распахнул двери в личные кабинеты — пользователи сами оставили некоторые разговоры у входа, а Google аккуратно добавил их в каталог.

В Яндексе тем временем заверили, что ссылки на диалоги с «Алисой AI» закрыты от индексации. Они создаются только по инициативе пользователя, действуют 14 дней и могут быть отозваны. Прикреплённые файлы получателю не передаются, а продолжение чужого диалога остаётся приватным.

RSS: Новости на портале Anti-Malware.ru