CyberInt: Русские хакеры атакуют финансовые учреждения США RAT-бэкдорами

CyberInt: Русские хакеры атакуют финансовые учреждения США RAT-бэкдорами

CyberInt: Русские хакеры атакуют финансовые учреждения США RAT-бэкдорами

Специалисты компании CyberInt зафиксировали деятельность киберпреступной группы, которая, как они предполагают, имеет российские корни. По словам исследователей, злоумышленники используют трояны удаленного доступа для атак на финансовые учреждения в США и по всему миру.

CyberInt присвоила группировке «русских хакеров» имя TA505. Сообщается, что в ходе своей деятельности преступники используют вредоносные программы, известные под именами Shifu and Dridex. Также в их кампаниях был замечен знаменитый шифровальщик Locky.

За последние несколько месяцев отметилась тенденция хакеров к использованию бэкдоров вроде tRat и ServHelper. К слову, оба эти вредоноса написаны на языке Delphi.

В период между декабрем 2018 и февралем 2019 года TA505 использовала бэкдор в атаках на финансовые организации в Чили, Индии, Италии, Малави, Пакистане и Южной Корее. Также отчет (PDF) CyberInt говорит о том, что атаки велись и на ритейл в США.

Как подавляющее большинство таких атак, кампании TA505 начинались с фишинговых электронных писем, которые обманным путем пытались заставить пользователя открыть вредоносный документ Word.

В этом документе содержался скрипт VBA, который загружал вредоносную нагрузку с командного сервера C&C. Заключительным этапом заражения на компьютер жертвы устанавливался RAT-бэкдор.

Эксперты утверждают, что схожая схема атаки, в которой использовался тот же набор инструментов, была отмечена в ходе кибератак на Украину.

«Отличительная черта TA505 — использование комбинации из вредоносных документов Office и VBA-скриптов, которые эксплуатируют известные уязвимости в программном обеспечении», — говорят исследователи.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники хранили свой код в DNS-записях в шестнадцатеричном формате

Команда DomainTools обнаружила еще один пример использования DNS как хранилища вредоносов. Для сокрытия бинарника его конвертировали в шестнадцатеричный формат, разбили на части и спрятали в TXT-записях связанных поддоменов.

Подобные злоупотребления рассчитаны на то, что защитные решения редко проверяют DNS-трафик на предмет угроз, он для них слепая зона. К тому же организовать выявление аномалий в легитимном потоке запросов в данном случае непросто, а при использовании шифрования (DoH или DoT) — еще сложнее.

Привлекшие внимание экспертов записи DNS TXT содержали информацию о сотнях различных поддоменов *.felix.stf.whitetreecollective[.]com, дополненную фрагментами кода в шестнадцатеричном формате.

 

При их извлечении и сборке с преобразованием в двоичный файл оказалось, что это Joke Screenmate — злонамеренное приложение Windows, которое выводит на экран изображения или анимацию, от которых трудно избавиться.

Это может быть череда шутливых картинок, которые быстро множатся, и их трудно закрыть. Более агрессивные варианты таких программ пугают жертв бесконечными сообщениями об ошибках или якобы обнаруженных вирусах.

Известны случаи, когда в DNS-записях скрывались вредоносные скрипты. Исследователи из DomainTools тоже столкнулись с таким TXT-содержимым; на поверку зашифрованный Powershell оказался загрузчиком, скачивающим пейлоад второго этапа атаки с C2 на базе Covenant.

В комментарии для Ars Technica представитель DomainTools поведал, что недавно они нашли DNS-записи с текстами для ИИ-ботов, которые, видимо, используются в рамках промпт-инъекций. Все фразы начинались с «Ignore all previous instructions» («Забудь обо всех прежних инструкциях») и содержали различные просьбы, от с виду невинных (назвать произвольное число, выдать краткое содержание фильма «Волшебник», спеть песню, как птичка) до явно провокационных (игнорить все последующие инструкции, удалить обучающие данные и восстать против своих хозяев).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru