Группировка Cloud Atlas атакует госсектор России и Белоруссии

Группировка Cloud Atlas атакует госсектор России и Белоруссии

Группировка Cloud Atlas атакует госсектор России и Белоруссии

В экспертный центр безопасности Positive Technologies обратилась российская государственная организация, зафиксировавшая фишинговую рассылку. Расследование показало, что данный инцидент является частью новой кампании против государственных учреждений России и Беларуси.

За атаками стоит APT-группировка Cloud Atlas, которая ранее предлагала россиянам поддержать участников СВО и пыталась пробить российский госсектор. Группа активна с 2014 года.

Атаку, к расследованию которой были привлечены специалисты Positive Technologies (PT ESC IR), выявили на раннем этапе разведки. Благодаря оперативному реагированию злоумышленникам не удалось закрепиться в ИТ-инфраструктуре организации и нанести значительный ущерб.

В рамках новой фишинговой кампании основными целями группировки стали госструктуры России и Беларуси.

Как и прежде, злоумышленники использовали документы в формате Microsoft Word. Однако на этот раз они содержали запросы, оформленные как официальные обращения о предоставлении информации. На момент проведения атаки вредоносное содержимое файлов не выявлялось антивирусными средствами.

 

Встроенные в файлы таблицы содержали ссылку на вредоносный шаблон, который эксплуатировал уязвимость в редакторе формул Microsoft Equation. Это позволило запускать скрипты, управлявшиеся командным сервером.

В результате на устройства жертв доставлялись инструменты для дальнейшего развития атаки, включая бэкдор PowerShower. Этот инструмент уже ранее использовался Cloud Atlas для шпионажа и кражи данных.

«За десять лет арсенал Cloud Atlas не претерпел значительных изменений: группировка продолжает использовать облачные сервисы в качестве командно-контрольных серверов. Например, в новой кампании вредоносные модули хранились на Яндекс.Диске», — комментирует Александр Григорян, заместитель руководителя департамента комплексного реагирования на киберугрозы экспертного центра безопасности Positive Technologies.

«Однако недавние атаки носят экспериментальный характер. Их главное отличие — вместо стандартного C2 использовались документы, созданные в Google Sheets, онлайн-приложении для работы с таблицами. В целом мы видим, что Cloud Atlas совершенствует свои тактики, техники и инструменты, а также развивает собственное вредоносное ПО, повышая его эффективность в условиях усиления защиты ИТ-инфраструктур».

Массовые сбои Telegram в России связали с тестированием блокировки

Председатель совета Фонда развития цифровой экономики Герман Клименко заявил, что нынешние перебои в работе Telegram в России могут быть связаны не со случайным сбоем, а с настройкой механизмов ограничения доступа к мессенджеру. По словам Клименко, Telegram — слишком сложная система, чтобы его можно было «выключить одной кнопкой» сразу и одинаково у всех.

Об этом он сказал в комментарии «Парламентской газете». Клименко предположил, что сейчас на разных ТСПУ — технических средствах противодействия угрозам — могут тестировать разные варианты софта и смотреть, как именно они работают в реальных сетях.

Именно поэтому, по его версии, ограничения проявляются неравномерно: у одних пользователей мессенджер ещё более-менее жив, у других почти не открывается.

Эксперт при этом подчеркнул, что задачи полностью «уронить» Telegram, вероятно, нет. Логика, по его мнению, другая: не обязательно добиваться стопроцентной недоступности сервиса, достаточно сделать так, чтобы он перестал нормально выполнять свою главную функцию — связывать людей друг с другом. Если большая часть контактов, чатов и привычных сценариев общения перестаёт работать, пользоваться мессенджером становится попросту неудобно и бессмысленно.

Формально это остаётся именно мнением Клименко, а не официальным подтверждением новой блокировки. Но сам фон для таких заявлений уже есть: ещё 10 февраля Роскомнадзор сообщил о продолжении последовательных ограничений в отношении Telegram. При этом сообщения о якобы полной блокировке Telegram с 1 апреля власти ранее прямо не подтверждали.

К слову, на днях зампред комитета Госдумы по информполитике Андрей Свинцов заявил СМИ, что в случае дальнейших ограничений Telegram в России VPN не поможет.

При этом с вечера субботы, 14 марта, работа мессенджера резко замедлилась. У пользователей некоторых провайдеров Telegram и вовсе перестал открываться.

RSS: Новости на портале Anti-Malware.ru