Кибершпионская группа Strider нацелена на Россию, Китай и Европу

Кибершпионская группа Strider нацелена на Россию, Китай и Европу

Кибершпионская группа Strider нацелена на Россию, Китай и Европу

Специалисты Symantec обнаружили хитрую кибершпионскую группу, которой удавалось долгое время оставаться в тени. Целью этой группы были организации, находящиеся в России, Китае и ряде стран Европы.

Группа, известная под названием Strider действует приблизительно с 2011 года. Symantec проанализировала один из инструментов этой группы - Remsec, после того, как клиент представил образец, обнаруженный его антивирусным средством из-за подозрительного поведения.

По мнению исследователей, Remsec является вредоносной программой, в первую очередь предназначенной для шпионажа. Remsec может отслеживать и логировать нажатия клавиш, красть файлы с компьютера , в общем, выступать в качестве бэкдора (backdoor).

«Remsec содержит ряд функций, помогающих ему избежать обнаружения. Некоторые из его компонентов в виде двоичных больших объектов сложнее обнаружить с помощью традиционных антивирусных средств» - объясняют исследователи Symantec – «В дополнение к этому, большая часть функционала вредоноса развернут в сети, то есть он находится только в памяти компьютера и никогда не хранится на диске. Это также затрудняет обнаружение и указывает на то, что группа Strider очень подготовлена и компетентна технически».

Symantec обнаружила в общей сложности 36 заражений в 7 организациях в четырех странах. В России, Китае, Бельгии и Швеции.

Вредный функционал обеспечивается связкой модулей, каждый из которых отвечает за конкретную задачу. Например, Remsec выдает себя за программный интерфейс между приложениями и провайдерами безопасности. Вредоносная программа также включает в себя три различных модуля бэкдора (базовый, продвинутый и HTTP).

Интересно отметить, что модули загрузчика и кейлоггера написаны на языке программирования Lua. Исследователи отметили, что это похоже на Flame, весьма сложное кибер-оружие, приравниваемое к Stuxnet и Duqu. Анализ модуля кейлоггера также показал, что его код содержит отсылки к Саурону (Sauron), главному антагонисту Властелина колец.

Symantec также отметили, что одна из жертв Strider была ранее заражена еще одним сожным трояном Regin, который использовался в кибер-шпионских операциях, по крайней мере, с 2008 года. Стоит отметить, что оба трояна Regin и Flame ассоциировались с определенными государствами, в том числе, с Британией, Америкой и Израилем.

Symantec считает, что Strider может также спонсироваться каким-либо государством, этот вывод основан на возможностях, сложности вредоноса и характере его целей.

Чтобы помочь организациям обнаружить присутствие угрозы на их системах, компания опубликовала небольшой документ.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Novabev подтвердила факт атаки и вымогательства

Алкогольный холдинг Novabev подтвердил факт масштабной кибератаки, в результате которой пострадала часть ИТ-инфраструктуры группы. По заявлению компании, инцидент сопровождался шантажом: злоумышленники потребовали выкуп за восстановление работы систем. Novabev отказалась выполнять эти требования.

Как сообщили в компании, атака произошла еще 14 июля. Сильнее всего она сказалась на работе сети алкомаркетов «ВинЛаб». Полностью прекратилась работа сайта, а также физических магазинов компании.

Также 15 июля резко (на 5,5% в моменте) упал курс акций компании. Однако к концу дня темпы падения, как сообщил «Финам», составили около 1%. На следующий день 16 июля падение составило 0,35%.

Также, как сообщили «Ведомости» со ссылкой на представителей двух розничных сетей, 14 июля прекратились отгрузки основной продукции Novabev, в том числе водки «Белуга» и «Беленькая». Также приостановлены все платежные операции компании.

«14 июля группа подверглась беспрецедентной кибератаке — масштабной и скоординированной акции, осуществленной хакерами. В результате инцидента была временно нарушена работоспособность части ИT-инфраструктуры, что отразилось на доступности некоторых сервисов и инструментов группы и сети «ВинЛаб». Злоумышленники вышли на связь и выдвинули требование о выплате денежного вознаграждения. Компания придерживается принципиальной позиции неприятия любых форм взаимодействия с киберпреступниками и категорически отказывается от выполнения их требований», - говорится в официальном сообщении Novabev, которое вышло вечером 16 июля.

Характер и масштаб инцидента компания не раскрыла. По неофициальным данным, произошло заражение инфраструктуры шифровальщиком.

Между тем, как сообщили в Novabev, утечки персональных данных в ходе инцидента не произошло. Компания работает над восстановлением ИТ-инфраструктуры. Ущерб от инцидента, по оценке «Ведомостей», по состоянию на конец рабочего дня 16 июля составил 1,5 млрд рублей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru