Группировка Turla использует коды состояния HTTP для управления шпионом

Группировка Turla использует коды состояния HTTP для управления шпионом

Группировка Turla использует коды состояния HTTP для управления шпионом

Специалисты антивирусной компании «Лаборатория Касперского» обнаружили новый вариант вредоносной программы COMpfun, контролирующей заражённый компьютер с помощью кодов состояния HTTP. Принято считать, что за атаками COMpfun стоит российская правительственная кибергруппировка Turla.

Впервые этот вредонос попал в поле зрения исследователей в ноябре. Киберпреступники используют COMpfun в операциях кибершпионажа против дипломатических представительств в странах Европы.

Как объясняют эксперты, не раз столкнувшиеся с атаками Turla, киберпреступная группировка любит использовать нестандартные методы установки вредоносных программ, которые помогают маскировать шпионские кампании.

В последних атаках, по словам экспертов «Лаборатории Касперского», Turla прибегла к новому подходу: используемая в атаках вредоносная программа получает инструкции от командного центра (C&C) в виде кодов состояния HTTP.

Именно таким образом действует зловред COMpfun, который на деле представляет собой классический троян удалённого доступа (RAT). Обосновавшись в системе жертвы, COMpfun может собирать информацию о компьютере, фиксировать нажатия клавиш и снимать скриншоты рабочего стола.

Помимо этого, киберпреступники оснастили COMpfun ещё двумя нововведениями. Во-первых, вредоносная программа теперь мониторит подключение USB-устройств к заражённому компьютеру — это помогает распространять зловред и на другие устройства.

Во-вторых, злоумышленники переработали принцип взаимодействия с командным сервером. Чтобы скрыть отправляемые вредоносу команды, операторы Turla разработали собственный протокол, использующий коды состояния HTTP.

Например, если сервер отвечает COMpfun сначала кодом 402, а затем — 200, вредонос загрузит все собранные данные на сервер злоумышленников. С частичным списком команд можно ознакомиться ниже:

 

Российские HR зачастили на OnlyFans

Сотрудники кадровых служб и подразделений безопасности российских компаний всё чаще проверяют популярную платформу для взрослых OnlyFans на предмет активности топ-менеджмента и публичных сотрудников. Такая проверка рассматривается как стандартная процедура и направлена на выявление возможных юридических и репутационных рисков.

Директор департамента расследований T.Hunter Игорь Бедеров прокомментировал эту практику в беседе с «Газетой.ru»:

«Компроматом в данном случае может быть не только платный аккаунт с откровенным контентом. Сам факт наличия у топ-менеджера идентифицируемого профиля, через который он взаимодействует с моделями OnlyFans, уже представляет собой репутационный риск», — отметил эксперт.

По его словам, обнаружение аккаунтов на OnlyFans у людей, занимающих высокие должности или находящихся в публичном поле, неоднократно становилось причиной повышенного и зачастую нездорового ажиотажа. Аналогичная ситуация, как отметил Бедеров, касается и представителей политической сферы.

Ранее Игорь Бедеров указывал, что сама платформа OnlyFans в прошлом допускала утечки информации, включая данные клиентов. Кроме того, популярностью сервиса пользуются злоумышленники — в частности, для распространения вредоносных приложений.

В результате многие модели OnlyFans всё чаще обращаются к частным специалистам по информационной безопасности, чтобы защитить свои аккаунты и контент, а также персональные данные подписчиков.

RSS: Новости на портале Anti-Malware.ru