Обнаружен ботнет работающий против России

Александр Панасенко 23 Сентября 2011 - 16:15

...

Специалисты антивирусной компании Trend Micro обнаружили сложную кибершпионскую сеть, направленную на атаку различных ИТ-систем в России и соседних странах. Эксперты говорят, что кибершпионаж и различная подрывная информационно-техническая деятельность до сих пор была направлена на различные группы активистов в области прав человека, а также западные промышленные и исследовательские компании. Одним из наиболее ярких примеров таких атак стала знаменитая Operation Aurora, направленная против Google. Есть и более свежие примеры, например, японская Mitsubishi Heavy Industires, ведущая расследование последних хакерских атак.

Многие из этих атак, как утверждают антивирусные компании и сами пострадавшие, ведут в Китай. Сама эта страна, однако, отрицает все обвинения в свой адрес, заявляя, что КНР также является жертвой хакеров, как и все остальные.

В Trend Micro говорят, что идентифицировали крупную сеть, которая атаковала 47 объектов, в частности дипломатические миссии, государственные министерства, космические агентства и коммерческие компании в 61 стране. Однако основными целями атакующих, судя по активности сети, были цели в России и Казахстане, а не в США и Западной Европе, как это обычно бывает. Еще более необычно то, что серверы, на которые хакеры собирали данные об атаках, располагались на крупных хостинг-площадках США и Великобритании, сообщает cybersecurity.

Вели нападения злоумышленники в большинстве случаев при помощи даунлоадера Lurid, который прежде уже был замечен в атаках на западные страны. В случае с российскими целями, злоумышленники размещали вредоносные коды внутри различных файлов Adobe или в .rar-архивах, представляемых как скринсейверы. Данная атака полагается на старые уязвимости, некоторые из которых были обнаружены еще в 2009 году.

Инфицированные системы связывались с командным сервером и передавали данные по тем или иным параметрам. В Trend Micro говорят, что не имеют доступа к украденным данным, но судя по трафику, организаторам атаки удалось похитить более 1400 файлов. "Наше исследование не выявило напрямую, какие именно данные были целью атакующих, но нам удалось установить, что в ряде случаев атакующие искали на определенных компьютерах вполне конкретные документы и данные", - говорит антивирусный специалист Trend Micro Нарт Вилленву.

Рик Фергюсон, директор по исследованиям Trend Micro EMEA, отметил, что на некоторых из зараженных компьютеров стояли программные продукты компании, которые позволили отследить два контрольных сервера, расположенных в США и Великобритании. Также Фергюсон говорит, что по большинству моментов можно утверждать, что подобная атака является актом кибершпионажа, а не действиями обычных хакеров, имеющих финансовую мотивацию.

Вложение	Размер
ck_100x50.jpg	2.78 КБ

Следующая главная новость »

SOC без иллюзий: от выбора технологий к реальной защите - обсудим в эфире AM Live! Регистрируйтесь »

Екатерина Быстрова 09 Февраля 2026 - 09:03

Linux Бэкдоры Шпионские программы Программы слежения Домашние пользователи Корпорации

Linux-фреймворк DKnife годами следил за трафиком пользователей

Исследователи из Cisco Talos рассказали о ранее неизвестном вредоносном фреймворке под названием DKnife, который как минимум с 2019 года используется в шпионских кампаниях для перехвата и подмены сетевого трафика прямо на уровне сетевых устройств.

Речь идёт не о заражении отдельных компьютеров, а о компрометации маршрутизаторов и других устройств, через которые проходит весь трафик пользователей.

DKnife работает как инструмент постэксплуатации и предназначен для атак формата «атакующий посередине» («adversary-in-the-middle») — когда злоумышленник незаметно встраивается в сетевой обмен и может читать, менять или подсовывать данные по пути к конечному устройству.

Фреймворк написан под Linux и состоит из семи компонентов, которые отвечают за глубокий анализ пакетов, подмену трафика, сбор учётных данных и доставку вредоносных нагрузок.

По данным Talos, в коде DKnife обнаружены артефакты на упрощённом китайском языке, а сам инструмент целенаправленно отслеживает и перехватывает трафик китайских сервисов — от почтовых провайдеров и мобильных приложений до медиаплатформ и пользователей WeChat. Исследователи с высокой уверенностью связывают DKnife с APT-группировкой китайского происхождения.

Как именно атакующие получают доступ к сетевому оборудованию, установить не удалось. Однако известно, что DKnife активно взаимодействует с бэкдорами ShadowPad и DarkNimbus, которые уже давно ассоциируются с китайскими кибершпионскими операциями. В некоторых случаях DKnife сначала устанавливал подписанную сертификатом китайской компании версию ShadowPad для Windows, а затем разворачивал DarkNimbus. На Android-устройствах вредоносная нагрузка доставлялась напрямую.

После установки DKnife создаёт на маршрутизаторе виртуальный сетевой интерфейс (TAP) и встраивается в локальную сеть, получая возможность перехватывать и переписывать пакеты «на лету». Это позволяет подменять обновления Android-приложений, загружать вредоносные APK-файлы, внедрять зловреды в Windows-бинарники и перехватывать DNS-запросы.

Функциональность фреймворка на этом не заканчивается. DKnife способен собирать учётные данные через расшифровку POP3 и IMAP, подменять страницы для фишинга, а также выборочно нарушать работу защитных решений и в реальном времени отслеживать действия пользователей.

В список попадает использование мессенджеров (включая WeChat и Signal), картографических сервисов, новостных приложений, звонков, сервисов такси и онлайн-покупок. Активность в WeChat анализируется особенно детально — вплоть до голосовых и видеозвонков, переписки, изображений и прочитанных статей.

Все события сначала обрабатываются внутри компонентов DKnife, а затем передаются на командные серверы через HTTP POST-запросы. Поскольку фреймворк размещается прямо на сетевом шлюзе, сбор данных происходит в реальном времени.

SOC без иллюзий: от выбора технологий к реальной защите - обсудим в эфире AM Live! Регистрируйтесь »