Группировка Cloud Atlas атакует госсектор России и Белоруссии

Группировка Cloud Atlas атакует госсектор России и Белоруссии

Группировка Cloud Atlas атакует госсектор России и Белоруссии

В экспертный центр безопасности Positive Technologies обратилась российская государственная организация, зафиксировавшая фишинговую рассылку. Расследование показало, что данный инцидент является частью новой кампании против государственных учреждений России и Беларуси.

За атаками стоит APT-группировка Cloud Atlas, которая ранее предлагала россиянам поддержать участников СВО и пыталась пробить российский госсектор. Группа активна с 2014 года.

Атаку, к расследованию которой были привлечены специалисты Positive Technologies (PT ESC IR), выявили на раннем этапе разведки. Благодаря оперативному реагированию злоумышленникам не удалось закрепиться в ИТ-инфраструктуре организации и нанести значительный ущерб.

В рамках новой фишинговой кампании основными целями группировки стали госструктуры России и Беларуси.

Как и прежде, злоумышленники использовали документы в формате Microsoft Word. Однако на этот раз они содержали запросы, оформленные как официальные обращения о предоставлении информации. На момент проведения атаки вредоносное содержимое файлов не выявлялось антивирусными средствами.

 

Встроенные в файлы таблицы содержали ссылку на вредоносный шаблон, который эксплуатировал уязвимость в редакторе формул Microsoft Equation. Это позволило запускать скрипты, управлявшиеся командным сервером.

В результате на устройства жертв доставлялись инструменты для дальнейшего развития атаки, включая бэкдор PowerShower. Этот инструмент уже ранее использовался Cloud Atlas для шпионажа и кражи данных.

«За десять лет арсенал Cloud Atlas не претерпел значительных изменений: группировка продолжает использовать облачные сервисы в качестве командно-контрольных серверов. Например, в новой кампании вредоносные модули хранились на Яндекс.Диске», — комментирует Александр Григорян, заместитель руководителя департамента комплексного реагирования на киберугрозы экспертного центра безопасности Positive Technologies.

«Однако недавние атаки носят экспериментальный характер. Их главное отличие — вместо стандартного C2 использовались документы, созданные в Google Sheets, онлайн-приложении для работы с таблицами. В целом мы видим, что Cloud Atlas совершенствует свои тактики, техники и инструменты, а также развивает собственное вредоносное ПО, повышая его эффективность в условиях усиления защиты ИТ-инфраструктур».

Роскомнадзор требует от Telegram системной борьбы с сервисами пробива

Роскомнадзор обвинил администрацию Telegram в «системной поддержке» инфраструктуры, связанной с незаконным сбором и распространением персональных данных российских граждан. Регулятор потребовал от мессенджера пресекать подобную практику.

Ведомство выпустило несколько официальных заявлений, касающихся незаконного распространения персональных данных, в том числе в формате досье.

Как сообщает ТАСС со ссылкой на пресс-службу Роскомнадзора, Telegram, по мнению регулятора, системно формирует инфраструктуру, которая позволяет сервисам «пробива» распространять персональные данные незаконным образом.

Ведомство потребовало от администрации мессенджера «самостоятельно пресекать раскрытие личной информации россиян, исключить возможность поиска сервисов "пробива", а также прекратить предоставление им инфраструктуры для доступа к украденным персональным данным».

В Роскомнадзоре также отметили, что Telegram предпринимает определённые шаги в этом направлении. С 2022 года платформа удалила 8358 сервисов «пробива». В 2026 году блокируется около 100 таких сервисов еженедельно, однако, по оценке регулятора, этих мер пока недостаточно.

По оценкам экспертов, объём рынка «пробива» в России достигает 15 млрд рублей, а на постоянной основе подобными услугами пользуются около 1,5 млн человек. После закрытия сервиса «Глаз Бога» в этом сегменте начался активный передел рынка.

RSS: Новости на портале Anti-Malware.ru