Winnti атакует разработчиков софта для финансовых организаций из России

Winnti атакует разработчиков софта для финансовых организаций из России

Winnti атакует разработчиков софта для финансовых организаций из России

Киберпреступная группировка Winnti подключила к атакам новый инструментарий и инфраструктуру, а также переключилась на разработчиков софта для финансовых организаций из России и Германии. Об этом говорит отчёт центра безопасности Positive TechnologiesPT Expert Security Center (PT ESC).

Изучая киберугрозы, специалисты PT ESC выявили ранее неизвестный бэкдор xDll и несколько других образцов вредоносных программ. Анализ xDll позволил экспертам Positive Technologies связать его с группировкой Winnti (также известна под именами АРТ41, BARIUM и AXIOM).

По данным PT ESC, инфраструктура кибергруппы стремительно разрастается. На сегодняшний день исследователи обнаружили 150 IP-адресов командных серверов (C2) и как минимум 147 доменов, связанных с этими адресами. Почти 50% серверов Winnti находятся в Гонконге.

 

В настоящий момент операторы группировки держат под контролем более 50 компьютеров по всему миру. Среди атакованных компаний специалисты PT Expert Security Center обнаружили пять разработчиков софта для финансовых организаций. Часть этих девелоперов находятся в России.

В связи с этим исследователи предупреждают: в зоне риска находятся организации кредитно-финансовой отрасли и инвестиционные компании.

BI.ZONE Mail Security научили подозревать запароленные архивы и спам-клонов

Компания BI.ZONE выпустила Mail Security 3.0 с новыми механизмами обнаружения почтовых угроз и функциями для администраторов. Система стала внимательнее относиться к защищённым паролем архивам, проверять подлинность отправителей и находить массовые рассылки, в которых мошенники слегка меняют текст ради обхода фильтров.

Если содержимое запароленного архива, включая вложенный, невозможно распаковать, система теперь может начислить письму дополнительные баллы риска.

Сам архив при этом не объявляется вредоносным автоматически, но перестаёт пользоваться дипломатической неприкосновенностью только потому, что его содержимое закрыто на замок.

Другой новый метод сравнивает тексты сообщений и выявляет серии почти одинаковых писем. Так BI.ZONE рассчитывает обнаруживать спам-кампании, где злоумышленники переставляют несколько слов и надеются, что фильтр ничего не заметит.

В правилах доставки теперь можно учитывать результаты SPF- и DKIM-проверок. Это помогает отличать легитимных отправителей от тех, кто лишь надел знакомое имя и пришёл за учётными данными. По статистике BI.ZONE, в первом полугодии 2026 года на фишинг пришлось 90% нелегитимного почтового трафика.

Защиту административных аккаунтов усилили механизмом против автоматического перебора паролей. После заданного количества неудачных попыток входа пользователю придётся пройти CAPTCHA.

Администраторам разрешили массово включать, отключать и удалять правила, скачивать быстрые правила группой и выполнять операции сразу над несколькими письмами. В обновлённом журнале сведения о сообщении выводятся в боковой панели, а новый раздел «События» предупреждает о важных изменениях и скором окончании лицензии.

Журнал действий пользователей можно передавать во внешние системы мониторинга и SIEM по Syslog.

RSS: Новости на портале Anti-Malware.ru