Кто-то бэкдорит индустриальный и госсектор России с целью кражи данных

Кто-то бэкдорит индустриальный и госсектор России с целью кражи данных

Кто-то бэкдорит индустриальный и госсектор России с целью кражи данных

В «Лаборатории Касперского» проанализировали летние атаки на государственные и индустриальные организации РФ, а также образцы Windows-троянов, с помощью которых злоумышленники воровали данные.

Имейл-рассылки, нацеленные на внедрение бэкдоров, были зафиксированы в начале июня. К середине августа авторы атак обновили основной вариант зловреда, расширив набор функций для кражи данных.

Распространяемые вредоносные вложения (finansovyy_kontrol_2023_180529.rar и detali_dogovora_no_2023_000849.rar) представляли собой ARJ-архив, содержащий исполняемый файл Nullsoft с полезной нагрузкой — маскировочным PDF-документом и скриптом NSIS.

Последний при запуске открывает документ-приманку и вызывает функцию get плагина INetC установщика Nullsoft, которая пытается загрузить в систему вредоносный файл с внешнего ресурса. В случае успеха зловред копируется в папку C:\ProgramData\Microsoft\DeviceSync\ под именем UsrRunVGA.exe, а затем запускается на исполнение со скрытым окном. Чтобы обеспечить ему автозапуск, в системе создается новый ярлык (файл .lnk).

Кроме UsrRunVGA, в рамках данной вредоносной рассылки распространялись еще два бэкдора — Netrunner и Dmcserv, с другим C2-сервером.

 

Согласно результатам анализа, вредонос UsrRunVGA написан на Go; строки кода зашифрованы простым XOR. После запуска троян проверяет доступ в интернет, подключаясь к сайтам зарубежных СМИ (отправляет HTTP-запросы GET до тех пор, пока все они не вернут код состояния 200 — «ОК»).

При этом используется следующий User-Agent:

Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36 Edg/91.0.864.5.

После получения нужных ответов зловред обращается к C2-серверу по HTTPS, вновь ожидая в ответ код 200. Установив соединение, UsrRunVGA проводит ряд проверок на наличие виртуальной среды или песочниц; при обнаружении таких препятствий дальнейшее исполнение прекращается.

Основные функции бэкдора обеспечивают сбор и отправку на C2-сервер информации о зараженной машине (модель и производитель системного диска), а также выполнение команд list (перечислить файлы и папки в указанной директории) или file (передать файл на C2).

Выявлены дополнительные модули UsrRunVGA, выполняемые в отдельных потоках; они придаются зловреду для выполнения следующих задач.

  • получение содержимого буфера обмена;
  • снятие снимков экрана;
  • отправка файлов с указанными расширениями (из папок пользователей) на C2.

Данные, которые бэкдор отправляет на свой сервер, шифруются по AES256-GCM (ключ вшит в код вредоноса).

Обнаруженную в августе новую версию UsrRunVGA отличают отсутствие проверки интернет-доступа, расширенный набор проверок рабочей среды и дополнительный инструмент для кражи паролей из браузеров (список на три десятка позиций, в том числе Яндекс Браузер).

Изменился метод запроса, используемого для передачи системной информации на C2-сервер: теперь это HTTP POST. Содержимое подаваемых команд list / file и параметров стало шифроваться по RSA (ключ для расшифровки вшит в код зловреда).

Авторы UsrRunVGA также заменили AES-ключ, который используется для шифрования данных, отправляемых на командный сервер. Цепочка заражения и вредоносный скрипт-загрузчик остались без изменений.

Линус Торвальдс резко высказался против ИИ-слопа в ядре Linux

Пока мир захлёбывается от LLM-ботов и бесконечного ИИ-слопа, ядро Linux, похоже, остаётся последним бастионом здравого смысла. По крайней мере, если судить по свежей реакции Линуса Торвальдса на дискуссию вокруг использования ИИ в разработке ядра.

Создатель Linux довольно резко высказался по поводу идеи как-то отдельно регулировать или документировать вклад, сделанный с помощью LLM-помощников.

Поводом стало сообщение разработчика ядра Лоренцо Стоукса, связанного с Oracle, который усомнился в популярной формуле «LLM — это просто ещё один инструмент» и назвал такую позицию наивной.

Ответ Торвальдса был, мягко говоря, недипломатичным — в его стиле:

«Нет. Глупая тут как раз твоя позиция. Говорить об “ИИ-слопе” — это просто идиотизм. Люди, которые клепают плохие патчи с помощью ИИ, не будут добросовестно это документировать. Это настолько очевидно, что я вообще не понимаю, зачем это обсуждать».

Дальше — ещё жёстче. По мнению Торвальдса, документация ядра не должна превращаться в идеологическое поле боя между апологетами ИИ и сторонниками «конца света»:

«Я не хочу, чтобы документация по разработке ядра становилась заявлением об ИИ. У нас и так хватает людей по обе стороны — от “всё пропало” до “ИИ революционизирует разработку”».

Именно поэтому он настаивает на нейтральной формулировке «просто инструмент». Не потому, что он безоговорочно верит в LLM, а потому что документация — не место для деклараций.

При этом позиция Торвальдса остаётся, как ни странно, неоднозначной. Формально он не запрещает использование ИИ-помощников и, похоже, понимает, что запрет был бы бессмысленным. Если LLM-боты можно использовать тайком, их всё равно будут использовать. Просто не скажут об этом.

Контекст у спора вполне реальный. Команды разработчиков уже работают над чёткими рекомендациями по написанию патчей с помощью ИИ, а сами инструменты активно применяются на практике.

Сам Торвальдс раньше высказывался об ИИ куда мягче. В 2024 году он говорил, что 90% ИИ-маркетинга — это хайп, а позже неожиданно допустил вайб-кодинг, но с оговоркой: «если это не для чего-то важного». С этим, впрочем, далеко не все согласились — включая технических журналистов.

Кроме того, Линус в декабре неожиданно оправдал Windows BSOD.

RSS: Новости на портале Anti-Malware.ru