Авторы Buhtrap освоили APT-атаки

Авторы Buhtrap освоили APT-атаки

Аналитики международной антивирусной компании ESET обнаружили новый вектор кибератаки Buhtrap, нацеленной на российский бизнес. Злоумышленники скомпрометировали дистрибутивы популярной системы удаленного доступа и администрирования Ammyy Admin.

Киберкампания «Операция Buhtrap» («ловушка для бухгалтера») была раскрыта ESET весной 2015 года. Атакующие распространяли банковское шпионское ПО, используя фишинговую рассылку и набор вредоносных программ для контроля над зараженным ПК. 88% жертв атаки – компании из России.

В октябре 2015 года аналитики ESET обнаружили вредоносную активность на сайте компании Ammyy Group. Злоумышленникам удалось загрузить на сервер модификацию дистрибутива программы Ammyy Admin, содержащую установщик легитимной программы и вредоносное ПО группы Buhtrap. Скомпрометированный дистрибутив был доступен для загрузки около недели.

Buhtrap представляет собой загрузчик (downloader). Он получает список установленного в системе ПО и сайтов, посещенных пользователем. Если система интересна для атакующих, начинается загрузка установочного архива с файлами для кибершпионажа. Вредоносный код позволяет перехватывать нажатия клавиш, получать информацию о смарт-картах и взаимодействовать с удаленным сервером.

Несмотря на то, что Ammyy Admin – легитимная программа, она уже использовалась во вредоносных кампаниях. Поэтому некоторые антивирусные продукты, включая ESET NOD32, детектируют ее как потенциально нежелательное приложение. Тем не менее, программный продукт используется корпоративными пользователями в России и других странах. Среди клиентов Ammyy Group – российские банки и компании из списка Fortune Global 500.

Расследование ESET установило, что в октябре-ноябре 2015 года сайт Ammyy использовался для распространения нескольких семейств вредоносных программ. 26 октября «раздавался» загрузчик трояна Lurk, 29 октября – CoreBot, 30 октября – программа группы Buhtrap, в начале ноября – банковский троян Ranbyus и средство удаленного доступа Netwire RAT. Эти программы не связаны друг с другом, однако фальшивые дистрибутивы Ammyy Admin выполняли одинаковые действия. Можно предположить, что злоумышленники, взломавшие сайт Ammyy Group, предоставляли услуги по распространению вредоносного содержимого разным кибергруппам.

Группа Buhtrap осваивает новые методы компрометации корпоративных пользователей. Как и операторы банковского трояна Carbanak, злоумышленники освоили схемы, характерные для таргетированных атак. Использование атак класса watering hole (компрометация сайтов, посещаемых потенциальными жертвами) позволяет характеризовать Buhtrap как АРТ-группировку (Advanced Persistent Threat – «постоянные угрозы повышенной сложности»).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Группа ДОМ.РФ и Positive Technologies заключили соглашение о партнерстве

Группа ДОМ.РФ и компания Positive Technologies подписали соглашение о партнёрстве, направленное на развитие и внедрение отечественных решений для обеспечения информационной безопасности в банковском секторе.

Соглашение станет частью более широкой стратегии по импортозамещению ИБ-продуктов, особенно актуальной для финансовой отрасли.

Финансовые организации традиционно остаются одной из главных целей киберпреступников. По данным Positive Technologies, в 2024 году финансовый сектор вошёл в топ-5 наиболее атакуемых отраслей в России.

Угроза исходит не только со стороны злоумышленников, стремящихся к прямой краже средств, но и от атак на персональные и корпоративные данные, а также попыток дестабилизации работы банков и других учреждений.

В рамках партнёрства Группа ДОМ.РФ планирует реализовать масштабные проекты в сфере информационной безопасности, включая расширенное внедрение российских средств защиты. Уже сейчас в инфраструктуре группы применяются решения Positive Technologies, и их использование будет расширяться.

«Современные ИТ-системы становятся всё более сложными, а методы атак — всё изощрённее. Надёжная защита возможна только при комплексном подходе: от укрепления инфраструктуры до оценки рисков и регулярного обучения сотрудников. Мы уверены, что наш опыт поможет партнёрам из ДОМ.РФ укрепить защиту и повысить прозрачность ИБ-процессов», — отметил Борис Симис, заместитель генерального директора Positive Technologies по развитию бизнеса.

«Мы уделяем особое внимание кибербезопасности нашей масштабной инфраструктуры и делаем ставку на российские технологии. В условиях импортозамещения особенно важно развивать партнёрства с ведущими отечественными вендорами. Это сотрудничество поможет не только нам, но и всей отрасли — за счёт совершенствования решений и их адаптации под реальные потребности», — прокомментировал Николай Козак, управляющий директор Группы ДОМ.РФ.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru