Правительственные хакеры КНДР покупают инструменты у авторов TrickBot

Правительственные хакеры КНДР покупают инструменты у авторов TrickBot

Спонсируемые правительством Северной Кореи киберпреступники берут в аренду сложные профессиональные хакерские инструменты. Основным поставщиком в этом случае выступили операторы ботнета TrickBot.

Такое положение дел в очередной раз подтверждает, что в последнее время грань между киберпреступлением и правительственным шпионажем становится все более размытой.

Тенденция зародилась в 2017 году, когда стало известно, что авторы ботнета GameOver Zeus якобы помогали российской разведке красть конфиденциальные документы с заражённых компьютеров.

А всего лишь на прошлой неделе власти США обвинили администратора ещё одного ботнета — Dridex — в сотрудничестве с теми же российскими спецслужбами. Обвинительный акт гласил, что эти две структуры вместе искали важную конфиденциальную информацию.

Таким образом, если проанализировать все эти истории, можно сделать вывод, что разработчики популярных вредоносных программ часто связаны с разведкой и спецслужбами.

Вчера специалисты компании SentinelOne опубликовали отчёт, в котором описывается новая связь — на этот раз между правительственными хакерами КНДР, известными под именем Lazarus, и операторами ботнета TrickBot.

По словам исследователей, группировка Lazarus в последнее время всё чаще стала брать в аренду хакерские инструменты, а также покупать доступ к уже заражённым TrickBot системам.

Что касается инструментов, речь идёт об Anchor. Эксперты описывают Anchor как «связку хакерских программ», которые вместе составляют новое семейство вредоносов.

Поскольку TrickBot является одним из трёх самых мощных бонетов (наряду с Emotet и Dridex), нетрудно представить масштабы заражения — под контролем этого ботнета находится гигантская сеть из компьютеров.

Помимо этого, авторы также сдают в аренду доступ к заражённым TrickBot системам, чем и воспользовались северокорейские киберпреступники.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В Linux-службе polkit пропатчили 7-летнюю дыру повышения прав до root

Опасная уязвимость семилетней давности, выявленная в сервисе polkit, позволяет локальному пользователю с минимальным набором прав с легкостью повысить их до уровня root. Проблема актуальна для некоторых дистрибутивов Linux; кураторы проекта Polkit (ранее PolicyKit) выпустили патч 3 июня.

Названная системная служба, ассоциированная с демоном systemd, контролирует взаимодействие программ с разным уровнем привилегий в системе, разрешая или запрещая доступ в соответствии с заложенными политиками авторизации. Уязвимость CVE-2021-3560 позволяет обмануть этого арбитра и добраться до информации, недоступной рядовому пользователю.

По словам автора находки Кевина Бэкхауса (Kevin Backhouse), эксплойт в данном случае тривиален и проводится с помощью обычных инструментов Linux — таких как bash, kill, dbus-send. Как оказалось, подача команды dbus-send (например, для создания нового пользователя в системе) с быстрым откатом позволяет добиться искомого результата, не имея на то прав.

Главное — грамотно рассчитать момент принудительного завершения процесса: polkit в это время должен быть занят обработкой запроса. Помеху он воспримет как вмешательство root-уровня и немедленно выдаст разрешение.

 

Поскольку PoC-атака задействует множество процессов, правильный момент для отката dbus-send выбрать трудно. Бэкхаусу пришлось написать bash-скрипт и несколько раз повторить эксплойт, прежде чем он добился успеха.

Исследователь полагает, что данную уязвимость потому и не замечали годами — ее трудно воспроизвести. Разбор коммитов в репозитории Polkit показал, что опасная ошибка была привнесена в код 9 ноября 2013 года и благополучно перекочевала во все сборки тулкита, вышедшие после этой даты (с 0.113 по 0.118). Благодаря бдительности Бэкхауса ее, наконец, устранили с выпуском polkit-0.119.

Наличие CVE-2021-3560 подтверждено для RHEL 8, Fedora 21 и выше, Debian 11 (Bullseye), а также Ubuntu 20.04 LTS, 20.10 и 21.04. Производители уже выпустили соответствующие обновления.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru