Эксперты проанализировали используемые Северной Кореей вредоносы

Эксперты проанализировали используемые Северной Кореей вредоносы

Эксперты проанализировали используемые Северной Кореей вредоносы

Ранее US-Cert уже сообщала о вредоносной активности в киберпространстве со стороны Северной Кореи, в частности, рассматривалась деятельность группы Hidden Cobra. Теперь же эксперты в области кибербезопасности опубликовали анализ вредоносной программы, используемой Hidden Cobra.

Выделяются два инструмента:

  • Инструмент удаленного доступа (RAT), известный как Jonap;
  • SMB-червь под названием Brambul.

Известно, что Hidden Cobra использует эти инструменты для взлома с 2009 года. С помощью них киберпреступники таргетированно атакуют жертв по всему миру, под эти атаки попали американские СМИ, аэрокосмическая промышленность, финансовая отрасль и субъекты КИИ.

В опубликованном специалистами анализе рассматриваются технические детали и методы распространения Brambul.

Червь вызывает несколько потоков, которые затем случайным образом генерируют IP-адреса для заражения.

После того как IP-адрес жертвы сгенерирован, вредонос подключается к \\IPC$ по порту 445, используя «Administrator» в качестве имени пользователя и жестко запрограммированный набор паролей.

Далее вредоносный код вызывает WNetAddConnection2 API для подключения к сетевому ресурсу и конструирует следующую команду:

“cmd.exe /q /c net share admin$=%%SystemRoot%% /GRANT:%s, FULL”

Затем он совершает еще несколько вызовов: OpenSCManagerA(), StartSeviceA(), а потом выполняет команду, которая предоставляет полный набор разрешений на зараженной машине. После выполнения команды код вызывает DeleteService().

Таким образом, этот червь представляет собой совсем несложную вредоносную программу, которая полагается в первую очередь на брутфорс.

Министерство внутренней безопасности (МВБ) США в четверг опубликовало информацию о том, что Северная Корея продолжает совершать кибератаки. Удивительно, что МВБ призывает дать разработчикам антивирусов возможность бороться с деятельностью КНДР в цифровом пространстве.

Взломанный телеграм-канал Гурулева сообщил о мобилизации

В телеграм-канале депутата Госдумы, генерал-лейтенанта запаса Андрея Гурулева появился громкий пост о том, что СВО якобы перешла в формат позиционного тупика, а осенью будто бы планируется новая мобилизация. Но сам парламентарий быстро дал понять: к публикации он отношения не имеет.

В разговоре с RTVI Гурулев заявил:

«Нет у меня телеграм-канала. Это не мой телеграм-канал».

А в своем канале в мессенджере МАКС написал, что его телеграм-аккаунт был украден, а тексты там распространяются врагами.

«Постараемся как можно скорее вернуть доступ, всем спасибо, не ведитесь на провокации!» — говорится в сообщении депутата.

Скандальный пост появился вечером 1 июня. В нем от имени Гурулева утверждалось, что продвижение российских войск замедлилось из-за насыщения передовой и ближнего тыла беспилотниками.

Там же говорилось о якобы принятом принципиальном решении провести новую мобилизацию осенью. До кучи в публикации были критические пассажи о дефиците топлива на юге России и безопасности трассы «Новороссия».

История выглядит особенно неприятно на фоне того, что личный аккаунт и канал Гурулева в Telegram уже подвергались взлому в конце мая. Тогда мошенники писали людям от имени депутата и требовали срочно перевести криптовалюту. В канале также появлялся пост о сборе средств в криптовалюте якобы на дроны для ВДВ, но позже его удалили.

После взлома Гурулев отдельно предупреждал: если от его имени приходят сообщения с просьбой перевести деньги, передать данные или срочно что-то сделать, реагировать не надо.

RSS: Новости на портале Anti-Malware.ru