Действующие в России шпионы Sticky Werewolf перешли на стеганографию

Действующие в России шпионы Sticky Werewolf перешли на стеганографию

Действующие в России шпионы Sticky Werewolf перешли на стеганографию

Эксперты Positive Technologies обнаружили, что шпионящая в России APT-группа Sticky Werewolf (в PT ее именуют PhaseShifters) начала применять стеганографию для сокрытия загрузки троянов. Нововведение уже засветилось в десятках успешных атак.

Поддельные письма с новым сценарием доставки полезной нагрузки рассылаются в российские госструктуры, НИИ, промышленные компании. Получателя могут попросить ознакомиться с резюме или документом на подпись.

Вложенный архив под паролем содержит файл, при открытии которого отрабатывает скрипт-загрузчик. В результате на машину жертвы из интернета скачивается вредоносный код, спрятанный в картинке или текстовом файле по методу стеганографии.

Целевым зловредом может оказаться инфостилер Rhadamanthys, DarkTrack RAT, Meta Stealer или иной зловред, пригодный для шпионажа. Примечательно, что для их сокрытия Sticky Werewolf использует практически ту же технику, что и TA558, а также UAC-0050, действующая в России, Белоруссии, Молдавии, странах Прибалтики, на Украине и в Польше.

«Мы наблюдаем высокую активность PhaseShifters с весны 2023 года и уже тогда заметили интересные детали, — рассказывает Денис Кувшинов, руководитель TI-департамента PT ESC. — Атаки группировки по техникам идентичны цепочкам атак другой группировки, UAC-0050. Более того, атаки этих группировок проходят с небольшим временным промежутком, то есть злоумышленники одинаково атакуют с разницей в несколько недель. На данный момент мы склоняемся к тому, что UAC-0050 и PhaseShifters — это одна и та же группировка».

BI.ZONE AntiFraud получила сертификат ФСТЭК России 4-го уровня доверия

BI.ZONE AntiFraud получила сертификат ФСТЭК России. Речь идёт о 4-м уровне доверия — это значит, что систему можно использовать в организациях с повышенными требованиями к защите информации, включая госсектор и субъекты критической информационной инфраструктуры.

Сертификацию прошли транзакционный и сессионный модули платформы. По сути, это «двойная защита»: один модуль следит за самими операциями, второй — за тем, что происходит во время пользовательской сессии.

Транзакционный модуль анализирует операции и блокирует подозрительные действия. Он использует как набор экспертных правил, так и ИИ-модели, которые отслеживают аномалии в поведении пользователей и сотрудников.

Сессионный модуль работает в режиме реального времени и проверяет более 350 параметров мобильного устройства или веб-приложения. Он формирует глобальные профили пользователей, что помогает точнее выявлять мошенничество и отличать реальные действия клиента от подозрительных сценариев.

Как отметил руководитель BI.ZONE AntiFraud Алексей Лужнов, получение сертификата подтверждает соответствие решения требованиям по защите информации и позволяет использовать его в инфраструктурах с жёсткими регуляторными условиями — например, в госорганах, банках, страховых и кредитных организациях.

BI.ZONE AntiFraud — кросс-канальная система противодействия мошенничеству. Решение также включено в единый реестр российского ПО.

RSS: Новости на портале Anti-Malware.ru