Эксперты Cylance обнаружили вредоносную кампанию против Северной Кореи

Эксперты Cylance обнаружили вредоносную кампанию против Северной Кореи

Эксперты Cylance обнаружили вредоносную кампанию против Северной Кореи

Baijiu - недавно обнаруженная угроза, которая в настоящее время нацелена на Северную Корею и, по-видимому, имеет китайское происхождение. Вредоносная программа распространяется с помощью фишинга и включает загрузчик, который называется Typhoon, а также набор бэкдоров под названием Lionrock.

Вредоносная кампания, распространяющая этого зловреда, была обнаружена компанией Cylance.

«Три отличительных элемента Baijiu привлекли наше внимание: необычная сложность атаки, веб-хостинг GeoCities (1990-х годов) и использование множества методов обфускации» - пишет Силанс в опубликованном анализе.

Фишинговой приманкой в данной кампании является ссылка на якобы информацию о наводнения в Северной Корее в провинции Северный Хамгён. Тогда более 100 человек погибло, и более 100 000 человек остались без крова. Приманка включает в себя файл LNK с пояснением «Информация о наводнении в провинции Хамгён в 2016 году».

Файл LNK выполняет команду Windows, которая извлекает и запускает код Javascript. Javascript загружает две библиотеки DLL, размещенные на GeoCities.

«Обе библиотеки DLL служат для запуска закодированного PowerShell скрипта, они используют сертификат с истекшим сроком действия, принадлежащий mywellnessmatters.com» - комментирует Cylance.

Скрипт PowerShell запрашивает дополнительные URL-адреса GeoCities, пытаясь найти определенные файлы. Если они не доступны, скрипт ничего не делает. Один из таких файлов, полученных и проанализированных Cylance, был другим сценарием PowerShell, ответственным за доставку и выполнение конечных вредоносных нагрузок.

«Вредоносная составляющая представляет собой полнофункциональные бэкдоры, которые предоставляют злоумышленнику возможность манипулировать файлами, получать данные о дисках, управлять процессами, управлять информацией в реестре, загружать и скачивать файлы, снимать скриншоты и безопасно удалять следы бэкдора».

Подпишитесь на новости

СберТех запустил направление проверки безопасности ПО до внедрения

СберТех объявил о запуске нового направления по анализу безопасности программного обеспечения. В его основе собственная Лаборатория проверки ПО и технологическая платформа Platform V Orchestrator for Security Services. Задача — проверять софт до того, как его пустят в корпоративную инфраструктуру.

Как объясняет СберТех, платформа объединяет компоненты для работы с встроенными и внешними средствами анализа. Они позволяют проверять цифровые артефакты, контролировать состав ПО и его изменения, выявлять уязвимости, скрытые угрозы и дефекты в исходном коде и репозиториях.

Компания рассчитывает заменить разрозненные проверки и ручную обработку результатов единым управляемым процессом. По заявлению гендиректора СберТеха Максима Тятюшева, это позволит масштабировать проверки без пропорционального увеличения команды.

Потребность компания связывает с внедрением сотен продуктов от разных поставщиков, использованием компонентов с открытым исходным кодом и ростом атак на цепочки поставок ПО. Основные заказчики — банки, промышленность, телеком, энергетика и госсектор.

Platform V Orchestrator for Security Services поставляется как самостоятельный продукт и может интегрироваться в существующую инфраструктуру информационной безопасности заказчика. Решение поддерживает локальное развертывание и работу в изолированных средах: частных облаках и выделенных контурах обработки данных.

Реклама, 18+. ООО « Сбертех». ИНН 7736632467
ERID: 
2VfnxxYDDbr

RSS: Новости на портале Anti-Malware.ru