Авторы Buhtrap освоили APT-атаки

Авторы Buhtrap освоили APT-атаки

Аналитики международной антивирусной компании ESET обнаружили новый вектор кибератаки Buhtrap, нацеленной на российский бизнес. Злоумышленники скомпрометировали дистрибутивы популярной системы удаленного доступа и администрирования Ammyy Admin.

Киберкампания «Операция Buhtrap» («ловушка для бухгалтера») была раскрыта ESET весной 2015 года. Атакующие распространяли банковское шпионское ПО, используя фишинговую рассылку и набор вредоносных программ для контроля над зараженным ПК. 88% жертв атаки – компании из России.

В октябре 2015 года аналитики ESET обнаружили вредоносную активность на сайте компании Ammyy Group. Злоумышленникам удалось загрузить на сервер модификацию дистрибутива программы Ammyy Admin, содержащую установщик легитимной программы и вредоносное ПО группы Buhtrap. Скомпрометированный дистрибутив был доступен для загрузки около недели.

Buhtrap представляет собой загрузчик (downloader). Он получает список установленного в системе ПО и сайтов, посещенных пользователем. Если система интересна для атакующих, начинается загрузка установочного архива с файлами для кибершпионажа. Вредоносный код позволяет перехватывать нажатия клавиш, получать информацию о смарт-картах и взаимодействовать с удаленным сервером.

Несмотря на то, что Ammyy Admin – легитимная программа, она уже использовалась во вредоносных кампаниях. Поэтому некоторые антивирусные продукты, включая ESET NOD32, детектируют ее как потенциально нежелательное приложение. Тем не менее, программный продукт используется корпоративными пользователями в России и других странах. Среди клиентов Ammyy Group – российские банки и компании из списка Fortune Global 500.

Расследование ESET установило, что в октябре-ноябре 2015 года сайт Ammyy использовался для распространения нескольких семейств вредоносных программ. 26 октября «раздавался» загрузчик трояна Lurk, 29 октября – CoreBot, 30 октября – программа группы Buhtrap, в начале ноября – банковский троян Ranbyus и средство удаленного доступа Netwire RAT. Эти программы не связаны друг с другом, однако фальшивые дистрибутивы Ammyy Admin выполняли одинаковые действия. Можно предположить, что злоумышленники, взломавшие сайт Ammyy Group, предоставляли услуги по распространению вредоносного содержимого разным кибергруппам.

Группа Buhtrap осваивает новые методы компрометации корпоративных пользователей. Как и операторы банковского трояна Carbanak, злоумышленники освоили схемы, характерные для таргетированных атак. Использование атак класса watering hole (компрометация сайтов, посещаемых потенциальными жертвами) позволяет характеризовать Buhtrap как АРТ-группировку (Advanced Persistent Threat – «постоянные угрозы повышенной сложности»).

PyPI начал сбоить в России: разработчики жалуются на проблемы с доступом

У российских разработчиков снова проблемы: пользователи начали жаловаться на проблемы с доступом к PyPI — главному репозиторию пакетов для Python. Именно оттуда pip install обычно тянет библиотеки, без которых современная разработка быстро превращается в квест.

О проблеме написал пользователь Хабра под ником freehabr. По его словам, сайт pypi.org, с которого скачиваются пакеты Python, оказался недоступен у конечных пользователей и на хостингах. Автор утверждает, что проверял доступность сервиса самостоятельно.

Ситуация неприятная не только для любителей Python-скриптов. От экосистемы Python завязана огромная часть современной ИТ-разработки, включая машинное обучение, анализ данных, автоматизацию, DevOps-инструменты и ИИ-проекты. Поэтому проблемы с PyPI — это потенциальный удар по сборкам, деплою и рабочим процессам команд.

 

По данным сервисов мониторинга жалоб, за последний час сообщения о проблемах с PyPI поступали из нескольких регионов. Чаще всего пользователи жаловались в Орловской, Курской, Липецкой, Брянской и Тульской областях.

В статистике за последние сутки основная доля обращений пришлась на сбой сайта — 88%. Ещё 5% сообщений касались сбоя мобильного приложения, хотя у PyPI это звучит как отдельный жанр абсурда, и ещё 5% — общего сбоя.

Ранее на Российской общественной инициативе уже появлялись петиции с требованием ограничить блокировки, мешающие работе разработчиков и ИТ-инфраструктуры.

Если PyPI действительно начнёт массово отваливаться, последствия быстро почувствуют не только программисты, но и компании, у которых сборка, тестирование и развёртывание завязаны на Python-пакеты.

RSS: Новости на портале Anti-Malware.ru