Новая атака хакеров затронула пол-Европы

Новая атака хакеров затронула пол-Европы

...

Широкомасштабная хакерская
атака парализовала деятельность половины европейских ведомств,
регистрирующих транзакции по торговле квотами на выброс СО2 в
атмосферу. Мошенники получили доступ к кодам целого ряда компаний и
продлили лицензии ничего не подозревающим клиентам. Точная сумма ущерба
пока не определена. Сообщается, что в Германии было проведено, по
меньшей мере, 12 сделок с украденными лицензиями. При этом только одно
средних размеров предприятие понесло убытки на 1,5 миллиона евро.

Действовали мошенники следующим образом: в адрес ряда европейских,
японских и новозеландских компаний они отправили сообщение от имени
немецкого управления по торговле лицензиями на СО2 (DEHSt) в Потсдаме.
В нем под предлогом «угрозы возможных хакерских атак» содержалась
просьба перерегистрироваться в DEHSt. Затем хакеры организовали перевод
прав на выброс парниковых газов на счета в Дании и Великобритании, с
которых их быстро перепродавали дальше. Таким образом, новые владельцы
сейчас пребывают в полной уверенности, что транзакция была абсолютно
законной.

Ведомства ряда стран по учету продаж лицензий на выброс парникового
газа ведут сейчас судорожную перепроверку защитных систем своих
компьютеров, сообщает сегодня в эксклюзивном материале Financial Times
Deutschland, отмечая, что инцидент произошел еще в минувший четверг. В
DEHSt подчеркнули, что «хакерская атака была проведена на самом
высоком, профессиональном уровне». Представитель Федерального
криминального ведомства (BKA) скромно сообщила, что о данном
происшествии им известно.

Работа DEHSt была прервана уже в минувшую пятницу. По словам
официального представителя этого ведомства, проверочные работы будут
идти до конца текущей недели. Тем же самым занимаются их коллеги в
Бельгии, Дании, Испании, Венгрии, Италии, Греции, Румынии и Болгарии.
Дело в том, что купившие у компьютерных мошенников лицензии фирмы
уверены в их полной легальности, а регистрационные центры должны
документировать прошедшие транзакции.

Общий ущерб от грандиозной хакерской атаки подсчитать пока невозможно,
ведь в первую очередь пострадали компании из энергетического и
промышленного сектора, а также брокерские конторы.

источник

Шпионский троян CastleRAT вступил в Steam-сообщество ради связи с C2

Объявившийся в марте этого года Windows-бэкдор CastleRAT существует в двух вариантах: один написан на Python, другой скомпилирован на C. Последний ловчее прячется в системе и обладает более широкими возможностями.

В компании Splunk (собственность Cisco) подвергли анализу пару C-образцов CastleRAT и выяснили, что для управления трояном используются специально созданные публичные профили Steam.

При запуске вредонос собирает системные данные (имя компьютера, имя пользователя, GUID машины, название продукта) и обращается к бесплатному сервису www[.]ip-api[.]com для получения IP-адреса жертвы. Собранная информация отсылается на C2-сервер в подтверждение успешного заражения.

Основной задачей CastleRAT является обеспечение удаленного шелл-доступа к хосту. Зловред также умеет по команде выполнять следующие задачи:

  • составление списка запущенных процессов;
  • кейлоггинг;
  • копирование истории браузера (Microsoft Edge, Google Chrome, Brave, Firefox);
  • кража учетных данных и адресов криптокошельков из буфера обмена;
  • захват экрана (скриншоты выполняются в фоне и с заданной периодичностью);
  • включение / выключение микрофона и веб-камеры;
  • вывод поддельного диалогового окна с целью заставить жертву совершить искомое действие (вбить команду, путь к файлу, учетные данные);
  • останов и повторный запуск браузера с нужными флагами (–mute-audio, –do-not-de-elevate и проч.) в обеспечение скрытного мониторинга и контроля пользовательских сессий;
  • повышение привилегий в обход UAC (с этой целью используется UUID службы Appinfo для запуска доверенного ComputerDefaults.exe на более высоком уровне);
  • загрузка и запуск (с помощью rundll32.exe) дополнительных плагинов.

Чтобы обеспечить себе постоянное присутствие в системе, CastleRAT создает запланированное задание на запуск своей копии при каждой загрузке Windows.

Использование Steam позволяет операторам зловреда скрыть C2-коммуникации в легитимном веб-трафике. Всю релевантную информацию (конфигурация, команды) они постят на страницах игрового комьюнити прямым текстом либо в виде ссылок.

 

Обмен вредоноса с C2 осуществляется с использованием RC4. Ключ для шифрования / расшифровки данных жестко прописан в коде CastleRAT.

RSS: Новости на портале Anti-Malware.ru