Кибершпионы используют эксплойт для Autodesk 3D Max в целевых атаках

Кибершпионы используют эксплойт для Autodesk 3D Max в целевых атаках

В новых целевых атаках кибершпионская группировка использует интересный метод проникновения в сеть международной организации. Специалисты Bitdefender, наблюдавшие за действиями группы, заявили о признаках качественно организованной кампании.

В частности, кибершпионы задействуют специально созданный плагин для Autodesk 3D Max. Исследователи считают, что злоумышленников нанял один из конкурентов компании-жертвы.

«В ходе расследования выяснилось, что инфраструктура, используемая киберпреступниками для тестирования вредоносной нагрузки, располагается в Южной Корее», — гласит пресс-релиз (PDF) Bitdefender.

Раньше мы уже наблюдали атаки APT-групп на финансовый сектор (ближайший пример — DeathStalker), но в этот раз преступники впервые применили ту же тактику к сфере недвижимости.

Что касается использования плагина: Autodesk в этом месяце предупреждал пользователей об эксплойте для MAXScript — «PhysXPluginMfx». С его помощью атакующий мог сбросить настройки 3D Max и выполнить вредоносный код.

 

Согласно анализу Bitdefender, образец PhysXPluginStl.mse содержал встроенный DLL-файл, загружающий дополнительные бинарники .NET с командного сервера (C&C). Основная задача этих составляющих — выкрасть важные внутренние документы.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

CatDDoS собирает сетевые устройства в ботнет, используя 80 эксплойтов

Утечка исходников бота CatDDoS, он же Aterna, спровоцировала появление множества клонов. За последние три месяца аналитики насчитали свыше 80 эксплойтов, используемых для внедрения зловредов с интенсивностью до 300 атак и более в сутки.

Троян, которого в QiAnXin именуют CatDDoS, впервые объявился в Сети в августе 2023 года. Он создан на основе кода Mirai и заточен под проведение DDoS-атак типа flood (UDP, TCP и проч.); свои коммуникации с C2-сервером вредонос шифрует, используя ChaCha20.

Для распространения DDoS-ботов используются различные уязвимости в сетевых устройствах — в основном роутерах (D-Link, Linksys, NETGEAR, TOTOLINK, TP-Link, ZTE, Zyxel и др.) и серверах (Apache, Hadoop, FreePBX, GitLab, Jenkins, Seagate, SonicWall).

К октябрю прошлого года исследователи из NSFOCUS обнаружили, что созданный на основе CatDDoS ботнет разросся до глобальных масштабов. Наибольшее количество заражений было выявлено в Китае и США.

 

В декабре ботоводы в своем телеграм-канале объявили о закрытии сервиса (по всей видимости, они проводили DDoS-атаки на заказ или сдавали свою сеть в аренду). Исходные коды трояна вначале пытались продать в том же Telegram, но в итоге слили в паблик.

В результате все желающие начали плодить модификации. По свидетельству китайских экспертов, все эти самопальные варианты CatDDoS носят разные имена, но мало чем отличаются друг от друга.

Атаки, нацеленные на их распространение, зафиксированы в США, Франции, Германии, Бразилии и Китае. Список мишеней включает облачных и телеком-провайдеров, НИИ, госорганы, учебные заведения, строительные предприятия. Примечательно, что новоявленные клоны зачастую атакуют уже зараженные устройства и C2-серверы конкурентов.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru