Хакеры пытаются украсть PoC-коды у ИБ-экспертов с помощью соцсетей

Хакеры пытаются украсть PoC-коды у ИБ-экспертов с помощью соцсетей

Хакеры пытаются украсть PoC-коды у ИБ-экспертов с помощью соцсетей

Специалистов по поиску и анализу уязвимостей преследуют злоумышленники, которых, по всей видимости, интересуют результаты таких исследований. Авторы необычной кампании создали множество фейковых профилей в соцсетях, а также тематический блог, чтобы вступить в контакт с экспертами, завоевать их доверие и установить бэкдор на целевые компьютеры.

Аналитики из Google произвели разбор текущих атак и пришли к выводу, что их инициатором, скорее всего, является северокорейская группа хакеров, спонсируемых государством. Доступ к компьютерам ИБ-исследователей им нужен, очевидно, для кражи информации, которую можно использовать в целевых атаках, — такой как еще не опубликованные уязвимости и пробные эксплойты (proof-of-concept, PoC).

Расследование выявило ряд поддельных профилей в Twitter, LinkedIn, Telegram и Keybase, с помощью которых злоумышленники пытаются завязать знакомство с представителями ИБ-сообщества. Они имитируют бурную переписку между выдуманными персонажами, выкладывают видео, хвастаясь мнимыми успехами, а также публикуют ссылки на свой блог.

Заинтересовав намеченную жертву, фальшивый «коллега по цеху» напрямую обращается к ней, предлагая поработать вместе, и прикрепляет к сообщению файл для проекта Visual Studio — код некоего эксплойта, якобы для проверки. Как оказалось, этому эксплойту отведена совсем иная роль: после его отработки на машину исследователя устанавливается кастомный бэкдор, который подключается к C2-серверу и ожидает команд.

В некоторых случаях злоумышленники высылают вредоносный файл по email или пытаются провести атаку через браузер, предлагая собеседнику почитать публикации в блоге. По свидетельству аналитиков, этот сайт, специально созданный в зоне .IO, содержит в основном перепечатки чужих отчетов об уязвимостях, иногда подаваемых как вклад «гостя» — приглашенного эксперта.

При заходе в этот блог по указанной ссылке в системе исследователя регистрируется вредоносная служба, и запускается выполняемый в памяти бэкдор. Его сходство по коду с одним из инструментов, используемых APT-группой Lazarus, подтверждает предположение о северокорейских корнях авторов нападения на ИБ-экспертов.

Примечательно, что от эксплойта в данном случае не спасает ни полностью пропатченная Windows 10, ни новейшая версия Chrome. По всей видимости, злоумышленники используют связку каких-то уязвимостей нулевого дня в ОС и браузере Google. Установлено, что взлому подвергаются только 64-битные версии Windows 10, Windows Server 2019 и Windows Server 2016.

Зафиксирован также случай установки бэкдора на Android с браузером Chrome.

Поскольку схема заражения все еще не ясна, специалисты Google призывают ИБ-сообщество активнее делиться деталями наблюдаемых атак, а также информацией о новых уязвимостях в Chrome, за которую можно получить вознаграждение.

Потенциальным жертвам эксплойта рекомендуется проверить историю браузера на наличие адреса blog[.]br0vvnn[.]io и сверить свои контакты в соцсетях со списком фальшивых профилей, приведенным в блоге Google. Используемые компьютеры и виртуальные машины лучше разделить по назначению: одни использовать только для исследований, другие — для обычной навигации в интернете, общения с коллегами или загрузки присланных файлов.

В 6 из 10 случаев цифровой агрессор — знакомый человек

Цифровое насилие — это не только мутные анонимы из интернета и токсичные комментарии от людей с аватаркой кота. По данным глобального отчёта «Лаборатории Касперского», почти 60% жертв сталкивались с цифровым насилием со стороны людей из своего окружения.

Чаще всего агрессорами оказывались друзья — на них пришлось 15% случаев. Дальше идут нынешние партнёры — 10%, коллеги — 8%, члены семьи — 7% и бывшие партнёры — 6%.

То есть проблема часто сидит не где-то «в интернете вообще», а в переписках, семейных чатах, отношениях, работе и других местах, где вроде бы должно быть безопаснее.

Отдельно исследователи отмечают неприятную закономерность: люди, которые сталкивались с цифровым насилием со стороны друзей, партнёров или родственников, чаще признавались, что сами допускали похожее поведение по отношению к близким.

Это может говорить о том, что цифровая агрессия иногда превращается в привычный стиль общения: контроль, давление, слежка, обиды и месть переезжают в смартфон и становятся частью повседневности.

В Нижегородском женском кризисном центре отмечают, что цифровое насилие нередко используется как инструмент контроля, преследования и психологического давления со стороны близких людей. По данным центра, 72% обращений связаны с насилием со стороны супруга или партнёра, ещё 10% — со стороны родителей или родственников.

Поколенческий разрыв тоже заметен. Среди зумеров 81% знают термин «цифровое насилие», а почти 60% заявили, что за последний год сталкивались хотя бы с одной его формой. Среди беби-бумеров термин знаком 64% респондентов.

Женщины чаще говорят о чувстве уязвимости в цифровой среде. Небезопасно в интернете себя чувствуют 62,5% респонденток против 54% мужчин.

Психологи подчёркивают: когда агрессором становится знакомый человек, вред ощущается сильнее. К страху и потере контроля добавляется предательство, особенно если речь идёт о партнёре, друге, бывшем партнёре или коллеге. А технологии превращаются в инструмент кибермести: доступ к аккаунтам, переписки, фотографии, геолокация и старые пароли внезапно становятся оружием.

С точки зрения кибербезопасности эта история тоже сложнее обычной атаки. Угроза может идти не от неизвестного хакера, а от человека, у которого когда-то был доступ к устройству, аккаунту, семейной подписке, общему облаку или паролю на всякий случай.

RSS: Новости на портале Anti-Malware.ru