ЛК и Интерпол договорились о новом этапе совместной работы

ЛК и Интерпол договорились о новом этапе совместной работы

ЛК и Интерпол договорились о новом этапе совместной работы

«Лаборатория Касперского» объявила о новом этапе сотрудничества с Интерполом: компания продлила и расширила соглашение о совместной работе с международной правоохранительной организацией. Цель этого сотрудничества – объединение усилий, знаний и экспертного опыта для расследования и предотвращения киберпреступлений.

В частности, в рамках нового соглашения «Лаборатория Касперского» будет оперативно предоставлять Интерполу данные о новейших киберугрозах, детектируемых компанией. Эти сведения помогут экспертам по киберкриминалистике быстрее и эффективнее выявлять компьютерные инциденты по всему миру и пресекать деятельность киберпреступников.   

За более чем за 4 года сотрудничества «Лаборатория Касперского» и Интерпол реализовали ряд совместных успешных проектов. Так, компания приняла активное участие в координируемом Интерполом расследовании киберпреступной операции в Юго-Восточной Азии. «Лаборатория Касперского» помогла обнаружить около 9000 серверов, используемых злоумышленниками в качестве ботнета, и сотни зараженных веб-сайтов, среди которых были порталы государственных органов ряда стран этого региона.        

Двумя годами ранее «Лаборатория Касперского» помогла Интерполу вывести из строя ботнет Simda – сеть из более чем 770 тысяч зараженных компьютеров по всему миру. Масштабная международная операция, в которой приняли участие сразу несколько вендоров защитных решений, координировалась Глобальным комплексом инноваций Интерпола (INTERPOL Global Complex for Innovation – IGCI) – специальным подразделением международной полиции, занимающимся киберкриминалистикой. 

Кроме того, благодаря совместной работе с Интерполом эксперты «Лаборатории Касперского» создали бесплатный открытый инструмент Bitscout, облегчающий и ускоряющий процесс исследования киберугроз. Эта разработка не только позволяет сократить время, затрачиваемое на расследование, но также помогает правоохранительным органам оперативно обнаруживать важные артефакты и улики, остающиеся после кибератаки.

«Обмен информацией крайне важен сегодня для успешного противодействия киберугрозам, и мы рады, что наше сотрудничество с Интерполом в этой сфере становится еще более эффективным, – заявил Антон Шингарев, вице-президент «Лаборатории Касперского» по связям с государственными органами. – У нас в компании работают признанные во всем мире эксперты по кибербезопасности, и нередко зафиксировать какую-то новую угрозу не может ни один другой вендор. Передавая эту критически важную информацию Интерполу, мы стремимся поддерживать правоохранительные органы в их борьбе с киберпреступностью во всем мире. Зачастую данные, необходимые для решения проблемы, находятся в руках именно частных компаний».  

«Новое соглашение Интерпола с «Лабораторией Касперского» – логичный шаг в развитии нашего взаимодействия. Он позволит нам гарантировать, что правоохранительные органы по всему миру будут иметь доступ к информации, которая поможет им в борьбе с киберугрозами, – отметил Нобору Накатани (Noboru Nakatani), исполнительный директор Глобального комплекса инноваций Интерпола (IGCI). – На собственном опыте мы убедились, что сотрудничество с частными компаниями критически важно, поскольку это повышает эффективность нашей работы и помогает более успешно справляться с киберугрозами, масштаб и сложность которых растут с невероятной скоростью».

Сложный бесфайловый троян ShadowHS незаметно захватывает Linux-системы

Исследователи обнаружили ShadowHS — продвинутый бесфайловый фреймворк для атак на Linux, который заметно отличается от привычных вредоносных программ. Это не очередной бинарник, который можно поймать антивирусом, а полноценный инструмент постэксплуатации, целиком работающий в памяти и рассчитанный на долгую и аккуратную работу внутри защищённых корпоративных сред.

По данным Cyble Research & Intelligence Labs, ShadowHS — это сильно модифицированная и «вооружённая» версия утилиты hackshell.

В процессе заражения вредонос вообще не пишет файлы на диск: он выполняется из анонимных файловых дескрипторов, маскирует имя процесса под легитимные приложения вроде python3 и тем самым обходит контроль целостности и классические механизмы защиты.

Цепочка заражения начинается с многоступенчатого шелл-загрузчика, в котором полезная нагрузка зашифрована с помощью AES-256-CBC. После запуска загрузчик проверяет наличие зависимостей вроде OpenSSL, Perl и gzip, определяет контекст запуска и только затем восстанавливает пейлоад через сложную цепочку декодирования. Исполнение происходит напрямую из памяти — через /proc/<pid>/fd/<fd>, без следов в файловой системе.

 

Ключевая особенность ShadowHS — его «сдержанный» характер. В отличие от массовых зловредов, он не начинает сразу майнить криптовалюту или выкачивать данные. Сначала фреймворк проводит глубокую разведку окружения: ищет средства защиты, анализирует конфигурацию системы и передаёт результаты оператору, который уже вручную решает, что делать дальше. Такой подход больше похож на работу живого атакующего, чем на автоматизированный бот.

ShadowHS активно проверяет наличие корпоративных средств защиты — от CrowdStrike Falcon и Sophos Intercept X до Microsoft Defender, Elastic Agent, Wazuh, Tanium и агентов облачных провайдеров. Для этого используются проверки файловых путей, статусов сервисов и анализ состояния системы. Параллельно вредонос «зачищает территорию»: он ищет и завершает процессы конкурирующих семейств зловредов, включая Kinsing, Rondo и печально известный бэкдор Ebury, а также выявляет следы руткитов и прежних компрометаций.

Отдельного внимания заслуживает механизм вывода данных. Вместо стандартных SSH, SCP или SFTP ShadowHS использует пользовательские туннели GSocket. Передача файлов идёт через заранее заданную точку rendezvous и маскируется под локальные соединения, которые фактически перехватываются GSocket до попадания в сетевой стек. Такой подход позволяет обходить файрволы и средства сетевого мониторинга, не создавая очевидных сетевых сессий.

Если оператор решает активировать «тяжёлые» модули, ShadowHS способен развернуть сразу несколько вариантов криптомайнинга — от XMRig и XMR-Stak до GMiner и lolMiner. Для латерального перемещения он подтягивает инструменты вроде Rustscan. В коде также заложены модули для кражи AWS-учёток, SSH-ключей, данных из GitLab, WordPress, Bitrix, Docker, Proxmox, OpenVZ и облачных метаданных-сервисов — пока они остаются «спящими».

Из-за полностью fileless-архитектуры традиционные сигнатурные средства защиты против ShadowHS почти бесполезны. Эффективное обнаружение требует анализа поведения процессов, мониторинга исполнения в памяти и телеметрии на уровне ядра. Эксперты рекомендуют уделять внимание аномальной генеалогии процессов, подмене аргументов запуска и нетипичному использованию механизмов вроде memfd.

RSS: Новости на портале Anti-Malware.ru