Взломщики регулярно вторгались в сеть Nasdaq

Сообщается, что подобные инциденты не раз происходили в течение прошлого года. Тем не менее, за успешным проникновением в компьютерную сеть компании Nasdaq OMX не последовало никаких попыток нарушить работу торговой площадки, которая ей принадлежит.



Спецслужбы США уже занялись расследованием случившегося в целях выяснения личностей взломщиков и мотивов, которые побудили их к совершению киберпреступления. Пока известно лишь то, что злоумышленники успели предпринять несколько успешных нападений, однако за несанкционированным доступом к сети компании так и не последовали какие-либо иные вредоносные действия в отношении биржи Nasdaq.


По сведениям, оказавшимся в распоряжении журналистов, сотрудники Nasdaq OMX в ходе планового аудита безопасности обнаружили в одном из административных сегментов сети некое вредоносное программное обеспечение. Упомянутый сегмент и связанная с ним интерактивная служба отвечают за безопасное хранение информации и внутрисетевой обмен документами. Представители компании сообщили средствам массовой информации, что данная служба, которая, ко всему прочему, имеет выход в Интернет, работает независимо от сетевой архитектуры торговой площадки; признаков компрометации последней, по их словам, не обнаружено.
 
"По-видимому, все это время взломщики просто "осматривались", - заявил, в частности, источник в Nasdaq деловому изданию Wall Street Journal.


Тем не менее, ответственные лица, занимающиеся расследованием инцидента, не уверены, что на данный момент удалось обнаружить и ликвидировать все отверстия в системе безопасности. Поиск изъянов потребуется продолжить, поскольку если хакеры смогут-таки получить доступ к электронным системам торговой площадки, то у них появится возможность нарушить работу биржи и спровоцировать возникновение разнообразных негативных последствий для всей экономики в целом.


Следователи рассматривают несколько основных версий преступных мотивов, среди которых - противозаконное извлечение прибыли, хищение сведений, составляющих коммерческую тайну, а также собственно нанесение ущерба торговой площадке и, как следствие, создание угрозы безопасности государства. Особый вопрос, который еще предстоит разрешить, связан с причиной странного бездействия злоумышленников: трудно вообразить вора, который проник в дом, обошел его, заглянув в каждую комнату, и покинул здание, так ничего и не взяв.


Впрочем, у эксперта Core Security Тома Келлерманна уже имеется ответ на этот вопрос: комментируя ситуацию в беседе с журналистом WSJ, он пояснил, что многие профессиональные взломщики не сразу пытаются извлечь какие-либо дивиденды из сложившейся ситуации, а в течение некоторого времени осуществляют сбор сведений и уже на основании этой информации занимаются долговременным прогнозированием - проще говоря, выясняют, когда и при каких обстоятельствах можно будет воспользоваться каналом несанкционированного доступа с наибольшей выгодой для себя.


Напомним, что хакеры часто проявляют интерес к разнообразным финансовым учреждениям, в том числе и к торговым площадкам: например, в прошлом году регулярным атакам подвергалась Лондонская фондовая биржа. Самой Nasdaq и ее Интернет-представительству также уже доводилось страдать от действий злоумышленников.


eWeek

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Фейковый PoC устанавливает на машину ИБ-экспертов Cobalt Strike Beacon

На GitHub обнаружены два вредоносных файла, выдаваемых за PoC-эксплойты. Авторы находки из Cyble полагают, что это задел под очередную киберкампанию, мишенью которой являются участники ИБ-сообщества.

На хакерских форумах тоже обсуждают эти PoC к уязвимостям CVE-2022-26809 и CVE-2022-24500, которые Microsoft пропатчила в прошлом месяце. Как оказалось, оба репозитория GitHub принадлежат одному и тому же разработчику.

Проведенный в Cyble анализ показал, что расшаренные PoC на самом деле представляют собой вредоносный Net-банарник, упакованный с помощью ConfuserEX — обфускатора с открытым исходным кодом для приложений .Net. Зловред не содержит заявленного кода, но поддерживает эту легенду, выводя с помощью функции Sleep() поддельные сообщения, говорящие о попытке выполнения эксплойта.

Усыпив бдительность жертвы, вредонос запускает скрытую PowerShell-команду для доставки с удаленного сервера основной полезной нагрузки — маячка Cobalt Strike.

 

Этот бэкдор можно впоследствии использовать для загрузки дополнительных файлов в рамках атаки и для ее развития путем горизонтального перемещения по сети.

Похожая вредоносная кампания была зафиксирована полтора года назад. Злоумышленники вступали в контакт с баг-хантерами, пытаясь с помощью замаскированного IE-эксплойта 0-day и бэкдора добраться до информации об актуальных уязвимостях.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru