На одном из хакерских форумов в «даркнете» найден образец сложной вредоносной программы, созданной специально для атаки на энергетическую инфраструктуру. Исследователи подозревают, что его создатели работали по заданию государственных органов одной из стран Восточной Европы. Программа получила название SFG и, судя по всему, начала действовать ещё в мае.
Находку совершили специалисты из компании SentinelOne. Издание Motherboard цитирует слова Уди Шамира, который заведует в SentinelOne вопросами безопасности. Он объясняет, что код для многократного использования и изобилии присутствует на хакерских форумах. «Никто не хочет изобретать велосипед снова, и снова, и снова,» — говорит Шамир. Но эта программа выделяется из общей массы сложностью.
SFG представляет собой так называемый «дроппер». Он заражает компьютер жертвы и служит плацдармом для дальнейших атак. Проведённый SentinelOne анализ показывает, что его разработали специально для атаки на оборудование по меньшей мере одной из европейских энергетических компаний,
Исследователи сразу поняли, что имеют дело с чем-то необычным. Furtim не имеет ничего общего обычной малварью для киберпреступников. Эта программа похожа на инструмент спецслужб — такой же, каким был Stuxnet, при помощи которого вывели из строя иранский завод, обогащавший уран для производства ядерного оружия.
Программа испоользует множество разнообразных трюков, чтобы предотвратить срабатывание дюжины популярных антивирусов, и тщательно избегает виртуальных машин и сэндбоксов. Всё это нужно для того, чтобы как можно дольше избегать обнаружения.
SFG эксплуатирует несколько исправленных уязвимостей Windows, чтобы повысить свои привилегии и обойти ограничения системы контроля учётных записей пользователей (UAC). Получив расширенные права, программа регистрирует скрытый исполняемый файл для запуска на ранней стадии загрузки системы. Он удаляет все установленные антивирусы, и когда машина чиста, добавляет в каталог Windows другой исполняемый файл, который исполняется во время входа в систему.
Конечная цель — установка Furtim, другой вредоносной программы, найденной несколько месяцев назад. Образец, который обнаружили специалисты из фирмы eSilo, обладал тремя функциями. Одна из них отключала режимы сна и гибернации в Windows для того, чтобы поддерживать управляющие сетевые соединения. Другая крадёт пароли и отправляет их на сервер злоумышленников. Третий передаёт список процессов, имеющих отношение к безопасности, на командный сервер. Образец, проанализированный SentinelOne, рассчитан на взаимодействие с деактивированным командным сервером.
Исследователям не удалось установить, кто именно стоит за этой программой. В SentinelOne считают, что наиболее вероятный заказчик — власти одной из стран Восточной Европы. Шамир высоко оценивает квалификацию непосредственных разработчиков SFG. По его словам, они потрясающе разбираются во внутренностях Windows. «Это кибершпионаж самого высокого уровня,» — говорит он.
По оценкам Т1, рост российского ИТ-рынка замедлился и по итогам уходящего года составит лишь 3% — против 20% в 2024 году. Однако затишье будет кратковременным, в 2026 году эксперты ожидают прироста в 10%.
В комментарии для «Ъ» гендиректор холдинга Дмитрий Харитонов объяснил спад на рынке ИТ, который заметили и другие аналитики, сдвигом акцента в бюджетах компаний в пользу пересмотра ИТ-проектов и процессов управления ресурсами после экстренных закупок в 2023-2024 годах в рамках импортозамещения.
По завершении интеграции новых активов и стабилизации портфелей бизнес-структур можно ожидать роста спроса на платформенные ИТ-решения и управляемые сервисы. Представитель T1 также не преминул отметить: невзирая на спад, прикладные программы, а также ИБ-продукты и услуги по-прежнему востребованы.
Сегмент ИТ-оборудования переживает не лучшие времена, но в будущем году может показать рост до 8% из-за сдвига баланса в пользу отечественных решений.
Основным сдерживающим фактором роста, по мнению экспертов, является ужесточение нормативных требований — как по защите данных, так и в отношении использования ИИ.
Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
