Эксперт Kaspersky вышел на кибернаёмников, взламывающих Windows и macOS

Эксперт Kaspersky вышел на кибернаёмников, взламывающих Windows и macOS

Мало кто слышал про израильскую компанию Candiru в контексте кибербезопасности, однако специалисты уверяют, что именно она продала кибероружие правительству Узбекистана. Более того, источники утверждают, что сотрудники Candiru взламывают компьютеры на Microsoft Windows и macOS по заказу властей.

В основном специалисты Candiru специализируются на взломе Microsoft Windows. По словам исследователя антивирусной компании «Лаборатория Каперского» Брайана Бартоломью, одним из клиентов Candiru является правительство Узбекистана.

Бартоломью смог связать идущие из Узбекистана атаки, в которых использовались уязвимости в Windows, с компанией Candiru благодаря бреши в операциях узбекской разведки. После этого эксперт вышел ещё на двух клиентов Candiru: Саудовскую Аравию и Объединенные Арабские Эмираты.

Самой большой ошибкой разведки Узбекистана стала установка тестового компьютера, открытого на доступ из Сети. На этом устройстве спецслужбы тестировали хакерские инструменты, помогающие обойти антивирусные программы — например, продукты «Лаборатории Касперского».

Исследователь Kaspersky обнаружил, что компьютер узбекской разведки доступен из Сети, а также обратил внимание, что он регулярно подключается к определённому веб-адресу.

А вот где правительство Узбекистана выдало себя: этот веб-адрес не только был зарегистрирован в стране, но и зарегистрировавшее его лицо было во главе «Military Unit 02616». Несмотря на то, что об этом объединении было мало что известно, Бартоломью вскоре обнаружил, что оно является частью Службы государственной безопасности Республики Узбекистан.

Поскольку спецслужбы сами раскрыли используемые в атаках эксплойты для Windows, специалист «Лаборатории Касперского» смог связать их с другой вредоносной активностью, которая вывела его на Candiru.

Помимо взлома Windows, сотрудники Candiru также разрабатывают инструменты для взлома операционной системы macOS. Отдельные исследователи считают, что компания способна атаковать и iOS.

Само собой, деятельность Candiru должна обратить на себя внимание экспертов в области кибербезопасности, а также различных правозащитных организаций. Руководству компании можно задать много интересных вопросов.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Уязвимость в Windows позволяла украсть серверные учетные данные

Специалисты выявили уязвимость в классе технологий «удалённый вызов процедур» (RPC), позволяющие удаленному злоумышленнику добраться до контроллера доменов при определенной сетевой конфигурации, а также выполнить вредоносный код.

Кроме того, с помощью обнаруженной проблемы атакующий может модифицировать мапирование сертификата сервера и провести так называемый спуфинг.

Брешь отслеживают под идентификатором CVE-2022-30216, она присутствует в непропатченных версиях Windows 11 и Windows Server 2022. С выходом июльского набора обновлений Microsoft закрыла эту дыру.

Однако исследователь из Akamai Бен Барнс, обнаруживший CVE-2022-30216, опубликовал отчет, в котором описал технические подробности бага. Успешная атака гарантирует киберпреступнику полный доступ к контроллеру домена, его службам и данным.

Корни уязвимости уходят в сетевой протокол “SMB over QUIC“, отвечающий за связь с сервером. Если условный злоумышленник аутентифицируется как пользователь домена, баг позволит ему заменить файлы на SMB-сервере и направить их подключенным клиентам.

В случае с опубликованным PoC экспертам удалось продемонстрировать эксплуатацию бреши, в результате которой они смогли утащить учетные данные. Для этого исследователи организовали атаку на NTLM-ретранслятор, поскольку этот протокол использует слабую степень защиты аутентификации, выдавая учетные данные и ключи сессии.

Как только вызывается уязвимая функция, жертва тут же отправляет обратно сетевые данные для входа на устройство, находящееся под контролем злоумышленников. После этого атакующие могут удаленно выполнить код на машине жертвы.

Самым лучшим выходом из этой ситуации будет обновление систем. Отключать службу исследователи не рекомендуют.

Напомним, что в июне стало известно о DFSCoerce — новой атаке, позволяющей получить контроль над Windows-доменом.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru