Стоящая за вредоносом Triton группа снова атакует КИИ по всему миру

Стоящая за вредоносом Triton группа снова атакует КИИ по всему миру

Стоящая за вредоносом Triton группа снова атакует КИИ по всему миру

Киберпреступная группа, стоящая за атаками вредоноса Triton (также известен как Trisis и HatMan), до сих пор активна. Злоумышленники атакуют организации по всему миру. Группа получила имя Xenotime, известно, что она действует с 2014 года.

Несмотря на достаточно продолжительный период активности, обнаружить киберпреступников смогли лишь в 2017 году, когда была совершена кибератака на организацию КИИ на Ближнем Востоке.

Группа атаковала противоаварийную защиту Schneider Electric, используя 0-day уязвимость. Атакованная организация привлекла к расследованию Dragos и FireEye, специалисты пришли к выводу, что противоаварийная защита была затронута злоумышленниками в ходе операции случайно.

Теперь же исследователи из Dragos, которые не прекращали следить за активностью группы Xenotime, сообщают о новых атаках злоумышленников на организации по всему миру. Какими-либо деталями, к сожалению, эксперты не поделились, однако отметили, что хакеры сосредоточились на контроллерах безопасности, отличных от атакованных ранее Triconex (Schneider Electric).

Некоторые исследователи полагают, что за этими кибератаками стоит Иран, но это непроверенная информация, которую специалисты Dragos никак не комментируют.

«Эта группа киберпреступников создала настраиваемые вредоносные инструменты позволяющие собирать учетные данные, однако их ошибка привела к тому, что атаки провалились. Не стоит ожидать, что Xenotime допустит подобную ошибку и в будущем», — пишет Dragos в блоге.

В декабре прошлого года мы писали, что специалисты компании FireEye обнаружили новое семейство вредоносных программ Triton (или Trisis), напомнившее экспертам Stuxnet. Triton получил статус редкого вредоноса, действующего преимущественно на Ближнем Востоке. Целью зловреда является отключение промышленных систем безопасности, имеющих отношение к защите жизнедеятельности.

Исследователи пишут, что новая вредоносная программа нацелена на оборудование, выпускаемое Schneider Electric, оно используется в нефтегазовых установках и на ядерных объектах.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники модернизировали NFCGate для обхода антифрода

Управление по организации борьбы с противоправным использованием информационно-коммуникационных технологий МВД России (УБК МВД) предупреждает: злоумышленники используют новую модификацию зловреда, который маскируется под легитимное приложение и применяется для вывода украденных средств.

О появлении обновленной версии известного вредоносного ПО УБК МВД сообщило в официальном Telegram-канале. В отличие от классического сценария с использованием NFCGate, где происходит перехват данных карты жертвы, на устройстве пользователя без его ведома создается клон карты мошенника (так называемая «карта-дроп»).

Жертв вынуждают установить вредонос под видом легитимного программного обеспечения, чаще всего банковских приложений. Для этого злоумышленники представляются сотрудниками банков, служб поддержки или даже правоохранительных органов.

В качестве предлога они используют «защиту средств», «блокировку несанкционированного списания» или обещание «перевода на безопасный счет». Пользователя убеждают подойти к банкомату с поддержкой NFC и приложить карту. В этот момент зловред эмулирует карту мошенника, и банкомат переводит деньги со счета жертвы на счет злоумышленников.

Сам перевод подтверждается введением ПИН-кода владельцем карты. После завершения операции мошенники часто требуют удалить приложение, чтобы скрыть следы.

Так как операция инициируется самим пользователем и подтверждается его ПИН-кодом, она не вызывает подозрений у антифрод-систем банков. Средства при этом мгновенно поступают на счета, подконтрольные мошенникам, и быстро обналичиваются.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru