Хакеры взломали сервер МАГАТЭ

Члены ранее неизвестной хакерской группировки Parastoo взломали один из серверов Международного агентства по атомной энергетике (МАГАТЭ), выложив в открытый доступ более 150 адресов электронной почты сотрудников агентства, госчиновников высшего ранга и деятелей науки разных стран мира. В частности, в распоряжении хакеров оказался адрес электронной почты одного из сотрудников Управления по научным исследованиям при Министерстве энергетики США.

Все украденные данные были выложены хакерами на сайте Pastebin.

По данным агентства Рейтер, представители МАГАТЭ заявляют, что среди украденных адресов могут быть адреса электронной почты экспертов, работающих в венском отделении Агенства. Однако, по словам одного из западных дипломатов, украденная хакерами информация не являлась секретной.

Как следует из заявления пресс-секретаря МАГАТЭ Джил Тюдор (Gill Tudor), Агентство крайне сожалеет о том, что данные с одного из его старых серверов, который недавно был выведен из эксплуатации, попали в общий доступ. По мнению экспертов, акция Parastoo является ответом на жесткую политику МАГАТЭ в отношении ядерной программы Ирана. В пользу данного утверждения говорит и тот факт, что, вместе с украденными данными, хакеры опубликовали обращение к МАГАТЭ, в котором утверждали, что не будут раскрывать конфиденциальную информацию Агентства в случае, если МАГАТЭ не будет потворствовать Западу и Израилю, убивающим иранских ученых-ядерщиков и пытающимся всеми доступными средствами воспрепятствовать дальнейшему технологическому развитию Исламской Республики. 

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Фейковый PoC устанавливает на машину ИБ-экспертов Cobalt Strike Beacon

На GitHub обнаружены два вредоносных файла, выдаваемых за PoC-эксплойты. Авторы находки из Cyble полагают, что это задел под очередную киберкампанию, мишенью которой являются участники ИБ-сообщества.

На хакерских форумах тоже обсуждают эти PoC к уязвимостям CVE-2022-26809 и CVE-2022-24500, которые Microsoft пропатчила в прошлом месяце. Как оказалось, оба репозитория GitHub принадлежат одному и тому же разработчику.

Проведенный в Cyble анализ показал, что расшаренные PoC на самом деле представляют собой вредоносный Net-банарник, упакованный с помощью ConfuserEX — обфускатора с открытым исходным кодом для приложений .Net. Зловред не содержит заявленного кода, но поддерживает эту легенду, выводя с помощью функции Sleep() поддельные сообщения, говорящие о попытке выполнения эксплойта.

Усыпив бдительность жертвы, вредонос запускает скрытую PowerShell-команду для доставки с удаленного сервера основной полезной нагрузки — маячка Cobalt Strike.

 

Этот бэкдор можно впоследствии использовать для загрузки дополнительных файлов в рамках атаки и для ее развития путем горизонтального перемещения по сети.

Похожая вредоносная кампания была зафиксирована полтора года назад. Злоумышленники вступали в контакт с баг-хантерами, пытаясь с помощью замаскированного IE-эксплойта 0-day и бэкдора добраться до информации об актуальных уязвимостях.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru