Киберпреступник из Владимира майнил на государственных компьютерах

Киберпреступник из Владимира майнил на государственных компьютерах

На 42-летнего жителя Владимирской области завели уголовное дело за использование вредоносных программ, с помощью которых киберпреступник получил доступ к компьютерам, функционирующим в диапазоне Государственной интегрированной системы телекоммуникаций одного из регионов России. Целью злоумышленника был вредоносный майнинг криптовалюты за счет ресурсов взломанных компьютеров.

Как утверждает следствие, в январе прошлого года преступник установил на компьютеры программы, позволяющие нейтрализовать защитные механизмы на атакуемых машинах.

После этого злоумышленник принялся добывать цифровую валюту, используя ресурсы государственных компьютеров.

Деятельность киберпреступника была пресечена УФСБ Владимирской области. В мае этого года было возбуждено уголовное дело по статье 273 УК — создание вредоносных программ для блокирования, взлома и уничтожения информации.

Мужчине может грозить до 4 лет тюрьмы, либо до 5 лет принудительных работ.

В прошлом месяце стало известно, что 21-летний житель Курганской области пытался майнить за счет госсайта Ярославля. Об этом заявило следственное подразделение УФСБ России по Курганской области.

В его отношении также было возбуждено уголовное дело.

А в феврале исследователь в области безопасности обнаружил, что сторонний WordPress-плагин Browsealoud является причиной компрометации серверов. В итоге более 4 000 сайтов были заражены добывающим криптовалюту Monero майнером.

Самое интересное, что в числе скомпрометированных сайтов, использовавших этот плагин, были такие серьезные, как, например, офис британского комиссара, сайты Национальной службы здравоохранения Великобритании, сайт правительства Австралии и другие.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Злоумышленники бэкдорили пользователей через апдейты антивируса eScan

На протяжении пяти лет киберпреступники использовали антивирус eScan для заражения пользователей сложной вредоносной программой. Проблема заключалась в том, что eScan доставлял обновления по HTTP.

На интересную киберкампанию обратили внимание специалисты чешского антивирусного гиганта Avast. Как уточнили исследователи, киберпреступники устанавливали в системы жертв сложный бэкдор.

По сути, атакующие провернули классическую схему «человек посередине» (man-in-the-middle, MiitM), подменив легитимные обновления антивирусного движка eScan вредоносным файлом.

Интересно, что разработчики защитного продукта использовали HTTP для доставки обновлений как минимум с 2019 года. Это дало возможность злоумышленникам подсовывать людям бэкдор GuptiMiner.

Специалисты Avast уведомили как команду eScan, так и Индийскую компьютерную группу реагирования на чрезвычайные ситуации (CERT). 31 июля 2023 года представители eScan отчитались в устранении проблемы.

Что касается операторов GuptiMiner, они сначала использовали метод перехвата DLL и кастомный DNS-сервер, который позволял использовать имена легитимных доменов. Чуть позже злоумышленники переключились на технику маскировки IP-адреса.

В некоторых случаях вредоносный код прятался в графических изображениях (стеганография), чтобы затруднить его детектирование. Ряд вариантов бэкдора устанавливал кастомный корневой TLS-сертификат. Иногда через обновления eScan к пользователям попадал майнер XMRig.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru