Злоумышленники бэкдорили пользователей через апдейты антивируса eScan

Злоумышленники бэкдорили пользователей через апдейты антивируса eScan

На протяжении пяти лет киберпреступники использовали антивирус eScan для заражения пользователей сложной вредоносной программой. Проблема заключалась в том, что eScan доставлял обновления по HTTP.

На интересную киберкампанию обратили внимание специалисты чешского антивирусного гиганта Avast. Как уточнили исследователи, киберпреступники устанавливали в системы жертв сложный бэкдор.

По сути, атакующие провернули классическую схему «человек посередине» (man-in-the-middle, MiitM), подменив легитимные обновления антивирусного движка eScan вредоносным файлом.

Интересно, что разработчики защитного продукта использовали HTTP для доставки обновлений как минимум с 2019 года. Это дало возможность злоумышленникам подсовывать людям бэкдор GuptiMiner.

Специалисты Avast уведомили как команду eScan, так и Индийскую компьютерную группу реагирования на чрезвычайные ситуации (CERT). 31 июля 2023 года представители eScan отчитались в устранении проблемы.

Что касается операторов GuptiMiner, они сначала использовали метод перехвата DLL и кастомный DNS-сервер, который позволял использовать имена легитимных доменов. Чуть позже злоумышленники переключились на технику маскировки IP-адреса.

В некоторых случаях вредоносный код прятался в графических изображениях (стеганография), чтобы затруднить его детектирование. Ряд вариантов бэкдора устанавливал кастомный корневой TLS-сертификат. Иногда через обновления eScan к пользователям попадал майнер XMRig.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

У F.A.C.C.T. ASM появился еще один MSSP-провайдер — Риэль Инжиниринг

Компания F.A.С.С.T. обрела нового партнера по поставке MSSP-услуг. Системный интегратор «Риэль Инжиниринг» уже запустил пилотирование F.A.C.C.T. Attack Surface Management, и продукт помог выявить потенциальные угрозы в сетях заказчиков.

ИТ-компания «Риэль Инжиниринг» специализируется на решениях промышленной автоматизации, основная масса ее клиентов — крупные предприятия России, которым ввиду роста количества целевых атак на АСУ ТП важно быть на шаг впереди потенциальных злоумышленников.

По оценке F.A.С.С.T., в этом году наибольшую угрозу для российской промышленности составляют атаки с использованием зловредов: шифровальщиков, шпионов, инфостилеров, скрытных майнеров, а также утечки данных по вине хактивистов. Основными векторами атак на промпредприятия являются вредоносные рассылки, открытые RDP-порты, теневые цифровые активы и непропатченные уязвимости.

Решение F.A.C.C.T. ASM позволяет проводить проверки ИТ-инфраструктуры с тем, чтобы выявить слабые места и держать под контролем площадь атаки. Пилоты подключения клиентуры «Риэль Инжиниринг» уже зафиксировали такие потенциальные угрозы, как устаревший софт, незакрытые порты, просроченные сертификаты, небезопасные настройки имейл.

На некоторых промышленных предприятиях была обнаружена утечка корпоративных учеток, в одном из случаев сервисы были вынесены на внешний хостинг с сомнительной репутацией.

Ранее в этом году F.A.C.C.T. объявила о начале MSSP-партнерства с другим российским интегратором, «Бизнес Ай Ти». В рамках новой программы ИТ-компания предлагает бесплатный двухнедельный пилот аудита инфраструктуры заказчика с использованием облачного SaaS-решения F.A.C.C.T. ASM.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru