Лаборатория Касперского обнаружила бекдор в ПО NetSarang

Лаборатория Касперского обнаружила бекдор в ПО NetSarang

Лаборатория Касперского обнаружила бекдор в ПО NetSarang

Эксперты «Лаборатории Касперского» обнаружили, что в популярном серверном ПО содержалась программа-бекдор ShadowPad, которую внедрили злоумышленники с целью кражи данных из корпоративных сетей крупных компаний. Под угрозой оказались пользователи программного обеспечения NetSarang из различных индустрий, многие из них являются организациями из списка Fortune 500.

«Лаборатория Касперского» незамедлительно сообщила о зловреде компании-разработчику NetSarang, и та в свою очередь оперативно удалила из своего продукта вредоносный код и выпустила закрывающее уязвимость обновление.

Бекдор ShadowPad был найден в ходе расследования подозрительной активности в корпоративной сети одной финансовой организации. Специалисты этой компании обратились к экспертам «Лаборатории Касперского», обнаружив, что в системе, обрабатывающей финансовые транзакции, стали появляться подозрительные DNS-запросы (DNS – domain name server). Расследование показало, что источником этих запросов стало легитимное ПО для управления серверами которое используется сотнями компаний по всему миру. Однако подобные запросы были вовсе не типичны для этого ПО – именно этот факт и заставил аналитиков изучить программу внимательнее.

В результате эксперты «Лаборатории Касперского» выяснили, что подозрительные запросы исходили от спрятанного внутри вредоносного модуля, который связывался с командным центром злоумышленников каждые 8 часов. Эти запросы содержали базовую информацию о системе компании-жертвы. В случае если потенциальная жертва представляла интерес для атакующих, с командного сервера поступал ответный запрос, активировавший предварительно загруженную в систему программу-бекдор, которая в свою очередь могла подгружать и запускать другие вредоносные модули.

Эксперты «Лаборатории Касперского» заметили, что используемые злоумышленниками техники и инструменты очень похожи на те, что применялись в атаках китайскоговорящей группировки WinNTi. Однако полученной информации пока недостаточно для того, чтобы установить четкую связь между этой кибергруппировкой и бекдором в легальном ПО.

На текущий момент бекдор ShadowPad был активирован в Азиатско-Тихоокеанского регионе. Вместе с тем он может оставаться в неактивном состоянии во многих системах, особенно если компании не установили последнее обновление NetSarang и не имеют защитного решения, которое может обнаружить и вычистить вредоносный код.

«ShadowPad – пример того, насколько опасной и масштабной может быть атака на разработчиков программного обеспечения, которым доверяют пользователи во всем мире. С большой вероятностью подобный сценарий будет повторяться вновь и вновь. К счастью, компания NetSarang быстро отреагировала и выпустила жизненно необходимое обновление, предотвратив сотни инцидентов кражи данных, – рассказывает Игорь Суменков, антивирусный эксперт «Лаборатории Касперского». – Атака ShadowPad показала, что сегодня компании обязательно должны использовать продвинутые защитные технологии, которые способны оперативно выявлять аномальную активность в сети и детектировать даже те зловреды, которые злоумышленники спрятали в легальном ПО».

Telegram уличили в бездействии вокруг китайского крипторынка на $21 млрд

Telegram снова критикуют за то, что платформа продолжает обслуживать Xinbi Guarantee — крупный китайскоязычный теневой рынок, через который, по данным исследователей, проходят услуги по отмыванию денег для криптомошенников, а также другие криминальные сервисы.

WIRED пишет, что за всё время существования площадка уже провела операций примерно на $21 млрд, а после санкций Великобритании в конце марта её активность не только не остановилась, но и продолжилась почти в прежнем темпе.

Всего за 19 дней после введения санкций через Xinbi прошло ещё около $505 млн, а общее число пользователей почти дотянуло до полумиллиона. Telegram за это время, судя по всему, не предпринял шагов для удаления всей этой инфраструктуры.

Сама площадка давно фигурирует в расследованиях как один из ключевых узлов криминальной экосистемы в Telegram. Ещё раньше Elliptic оценивала её оборот примерно в $8,4 млрд, а более свежие оценки TRM Labs поднимают общий объём уже до $24,2 млрд. Разброс в цифрах объясняется разной методикой подсчёта, но общий вывод у исследователей один: речь идёт о действительно гигантском рынке, связанном с мошенничеством и отмыванием денег.

Сам Telegram публично почти не комментирует ситуацию. По данным WIRED, на новые запросы издания компания не ответила. При этом в прошлом Telegram уже объяснял своё нежелание вводить «общие запреты» тем, что часть пользователей якобы ищет альтернативные способы международных переводов на фоне жёстких финансовых ограничений в Китае.

RSS: Новости на портале Anti-Malware.ru