Kaspersky нашла связь Sunburst с бэкдором российской кибергруппы Turla

Kaspersky нашла связь Sunburst с бэкдором российской кибергруппы Turla

Kaspersky нашла связь Sunburst с бэкдором российской кибергруппы Turla

Специалисты антивирусной компании «Лаборатория Касперского» нашли сходство бэкдора Sunburst, который использовался в атаке на SolarWinds, с другим .NET-бэкдором — Kazuar, связанным с российской киберпреступной группой Turla.

Группа Turla (также носит имена VENOMOUS BEAR и Waterbug) занимается чётко скоординированными кампаниями кибершпионажа, в ходе которых её участники крадут конфиденциальную информацию.

Специалисты утверждают, что Turla проводит операции с 1996 года, её главными жертвами якобы становились Пентагон, НАСА, Центральное командование Вооружённых сил США и Министерство иностранных дел Финляндии.

Один из инструментов этой киберпреступной группировки — вредоносная программа Kazuar. По словам «Лаборатории Касперского», этот зловред имеет те же функции, что и бэкдор, стоящий за взломом SolarWinds. Напомним, что исследователи приписывают эту атаку группе UNC2452 (другое имя — DarkHalo). Таким образом, Kaspersky отчасти подтверждает слова ФБР, АНБ США и CISA, которые на днях обвинили российскую группировку во взломе SolarWinds.

Образцы бэкдора Kazuar впервые попали в руки экспертов в феврале 2020 года, а вот Sunburst, постоянно совершенствуясь, оказался в поле зрения в ноябре 2020 года. Общие функции Kazuar и Sunburst включают, например, алгоритм, который используется для генерации уникальных идентификаторов жертв.

Специалисты «Лаборатории Касперского» подчеркнули, что функции двух вредоносов не на 100% идентичны. Между этими бэкдорами и их авторами определённо есть некая связь, но вот какая именно — непонятно на данном этапе.

Однако при этом исследователи не исключают, что создатели Sunburst могли специально поместить в код своего бэкдора схожести с Kazuar, чтобы запутать и пустить по ложному следу аналитиков и агентов спецслужб.

Telegram уличили в бездействии вокруг китайского крипторынка на $21 млрд

Telegram снова критикуют за то, что платформа продолжает обслуживать Xinbi Guarantee — крупный китайскоязычный теневой рынок, через который, по данным исследователей, проходят услуги по отмыванию денег для криптомошенников, а также другие криминальные сервисы.

WIRED пишет, что за всё время существования площадка уже провела операций примерно на $21 млрд, а после санкций Великобритании в конце марта её активность не только не остановилась, но и продолжилась почти в прежнем темпе.

Всего за 19 дней после введения санкций через Xinbi прошло ещё около $505 млн, а общее число пользователей почти дотянуло до полумиллиона. Telegram за это время, судя по всему, не предпринял шагов для удаления всей этой инфраструктуры.

Сама площадка давно фигурирует в расследованиях как один из ключевых узлов криминальной экосистемы в Telegram. Ещё раньше Elliptic оценивала её оборот примерно в $8,4 млрд, а более свежие оценки TRM Labs поднимают общий объём уже до $24,2 млрд. Разброс в цифрах объясняется разной методикой подсчёта, но общий вывод у исследователей один: речь идёт о действительно гигантском рынке, связанном с мошенничеством и отмыванием денег.

Сам Telegram публично почти не комментирует ситуацию. По данным WIRED, на новые запросы издания компания не ответила. При этом в прошлом Telegram уже объяснял своё нежелание вводить «общие запреты» тем, что часть пользователей якобы ищет альтернативные способы международных переводов на фоне жёстких финансовых ограничений в Китае.

RSS: Новости на портале Anti-Malware.ru