Авторы Buhtrap освоили APT-атаки

Авторы Buhtrap освоили APT-атаки

Аналитики международной антивирусной компании ESET обнаружили новый вектор кибератаки Buhtrap, нацеленной на российский бизнес. Злоумышленники скомпрометировали дистрибутивы популярной системы удаленного доступа и администрирования Ammyy Admin.

Киберкампания «Операция Buhtrap» («ловушка для бухгалтера») была раскрыта ESET весной 2015 года. Атакующие распространяли банковское шпионское ПО, используя фишинговую рассылку и набор вредоносных программ для контроля над зараженным ПК. 88% жертв атаки – компании из России.

В октябре 2015 года аналитики ESET обнаружили вредоносную активность на сайте компании Ammyy Group. Злоумышленникам удалось загрузить на сервер модификацию дистрибутива программы Ammyy Admin, содержащую установщик легитимной программы и вредоносное ПО группы Buhtrap. Скомпрометированный дистрибутив был доступен для загрузки около недели.

Buhtrap представляет собой загрузчик (downloader). Он получает список установленного в системе ПО и сайтов, посещенных пользователем. Если система интересна для атакующих, начинается загрузка установочного архива с файлами для кибершпионажа. Вредоносный код позволяет перехватывать нажатия клавиш, получать информацию о смарт-картах и взаимодействовать с удаленным сервером.

Несмотря на то, что Ammyy Admin – легитимная программа, она уже использовалась во вредоносных кампаниях. Поэтому некоторые антивирусные продукты, включая ESET NOD32, детектируют ее как потенциально нежелательное приложение. Тем не менее, программный продукт используется корпоративными пользователями в России и других странах. Среди клиентов Ammyy Group – российские банки и компании из списка Fortune Global 500.

Расследование ESET установило, что в октябре-ноябре 2015 года сайт Ammyy использовался для распространения нескольких семейств вредоносных программ. 26 октября «раздавался» загрузчик трояна Lurk, 29 октября – CoreBot, 30 октября – программа группы Buhtrap, в начале ноября – банковский троян Ranbyus и средство удаленного доступа Netwire RAT. Эти программы не связаны друг с другом, однако фальшивые дистрибутивы Ammyy Admin выполняли одинаковые действия. Можно предположить, что злоумышленники, взломавшие сайт Ammyy Group, предоставляли услуги по распространению вредоносного содержимого разным кибергруппам.

Группа Buhtrap осваивает новые методы компрометации корпоративных пользователей. Как и операторы банковского трояна Carbanak, злоумышленники освоили схемы, характерные для таргетированных атак. Использование атак класса watering hole (компрометация сайтов, посещаемых потенциальными жертвами) позволяет характеризовать Buhtrap как АРТ-группировку (Advanced Persistent Threat – «постоянные угрозы повышенной сложности»).

В платформе Security Vision улучшили визуализацию и администрирование

Security Vision начала год с нового релиза своей платформы. В обновлении разработчики сосредоточились на прикладных вещах: улучшили визуализацию данных, расширили журналирование и упростили работу с экспортом, импортом и административными настройками.

Аналитика и визуализация

В виджете «Карта» появилась тепловая карта. Она позволяет наглядно показывать интенсивность, частоту и количество событий — например, кибератак или инцидентов — в разрезе ИТ-объектов.

В виджете «Последовательность (Timeline)» добавили настраиваемые формы отображения параметров, используемых при выводе данных. Это упрощает анализ цепочек событий и работу с временными срезами.

 

Журналирование и контроль действий

Журнал аудита стал подробнее. Теперь в нём фиксируются события включения и отключения коннекторов, а также расширена информация о действиях, выполняемых с сервисом коннекторов.

Кроме того, в аудит добавлены записи об остановке и удалении запущенных рабочих процессов, а также о создании отчётов, что повышает прозрачность операций и упрощает разбор спорных ситуаций.

Экспорт, импорт и администрирование

При формировании пакета экспорта теперь можно выбрать все связанные с исходной сущностью объекты только для вставки, без замены при импорте. Это особенно удобно при передаче крупных и связанных наборов данных.

В системных настройках очистки истории появилась возможность удалять записи о выполненных операциях импорта и экспорта системных сущностей, что помогает поддерживать порядок в журнале событий.

Обновления интерфейса

В релизе доработан интерфейс формы настроек журнала аудита, переработан раздел «Профиль пользователя», а также обновлены представления для внутрипортальных уведомлений.

Работа с JSON

В блоке преобразований для работы с JSON унифицированы списки вариантов в поле «Название свойства» — теперь они соответствуют вариантам выборки в поле «Значение свойства». Это касается операций добавления, объединения, удаления и поиска по JPath и XPath.

Security Vision продолжает развивать платформу, делая акцент на удобстве повседневной работы, прозрачности процессов и более наглядной аналитике.

RSS: Новости на портале Anti-Malware.ru