Китайская киберпреступная группа похищает сертификаты для подписи кода

Китайская киберпреступная группа похищает сертификаты для подписи кода

Китайская киберпреступная группа похищает сертификаты для подписи кода

Специалисты ProtectWise сообщают об обнаружении китайских киберпреступных групп, связанных с разведкой, которые специализируются на краже сертификатов, предназначенных для подписи кода. Такие сертификаты могут играть ключевую роль в распространении вредоносных программ, так как позволяют обойти антивирусные средства защиты.

Более того, обнаруженные группы злоумышленников обменивались добытыми ресурсами на протяжении девяти лет.

ProtectWise назвали главную киберпреступную группу Winnti Umbrella. По предположениям экспертов, эта группа может быть связана с Winnti, PassCV, APT17, Axiom, LEAD, BARIUM, Wicked Panda и GREF.

Специалисты ожидают, что после публикации их отчета группа злоумышленников предпримет шаги, чтобы замаскировать свою инфраструктуру и методику атак.

Winnti Umbrella в первую очередь ориентирована на игровые студии и высокотехнологичные предприятия, у которых можно получить сертификаты подписи кода. В дальнейшем киберпреступная группа атакует уйгурских и тибетских активистов, правительственные и технологические компании Таиланда.

Аналитик в области безопасности, известный как The Gruqq, в Twitter написал по поводу этой группы следующее:

«Эта APT-группа представляет собой некое объединение киберинженеров, выступающее на заднем плане и обеспечивающее другие киберпреступные группы поддержкой».

Отчет ProtectWise также свидетельствует о том, что группа атакует жертв электронными письмами, содержащими вложения, замаскированные под резюме. При открытии такого резюме на компьютер жертвы устанавливается вредоносная программа.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Android учится защищаться от IMSI-ловушек, но не на всех устройствах

Если вы слышали, что «стрингрей» может вас ранить, не пугайтесь — речь не о морском животном с ядовитым шипом, а о куда более незаметной и хитрой штуке. Стрингрей — это устройство, которое маскируется под сотовую вышку, чтобы перехватывать данные с вашего телефона.

И хотя в теории его используют спецслужбы, в реальности такие устройства могут попасть в руки кому угодно — и тут уже начинаются настоящие проблемы.

Вот, что может сделать стрингрей:

  • получить ваш IMSI (уникальный номер, привязанный к сим-карте),
  • определить, где вы находитесь,
  • попытаться переключить телефон на незащищённую 2G-сеть,
  • или даже внести скрытые изменения в настройки телефона.

Хорошая новость: Google уже несколько лет борется с этим. В Android 12 появилась возможность отключить 2G. В Android 14 — блокировка null-шифров (то есть полностью нешифрованных соединений). А в Android 15 и 16 добавили ещё один уровень защиты: уведомления о том, что сеть пытается вытащить ваш уникальный идентификатор или навязать слабую защиту.

Теперь в Android 16 появилась новая настройка Mobile network security. В ней:

  • можно включить уведомления о небезопасных сетях (по умолчанию выключены);
  • можно отключить 2G (эта функция уже давно спрятана в настройках сим-карты).

Звучит круто. Но есть нюанс. Все эти функции работают только при поддержке со стороны модема и определённой версии железа. Например, даже Pixel 9 с Android 16 не поддерживает новые фишки — не хватает аппаратной базы. Google намекает, что Pixel 10 и будущие устройства уже получат всю защиту целиком.

Кстати, ещё в 2021 году Qualcomm пыталась внедрить СМС-уведомления о попытке «атаки стрингрея», но идея так и не взлетела.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru