Хакеры пытаются украсть PoC-коды у ИБ-экспертов с помощью соцсетей

Хакеры пытаются украсть PoC-коды у ИБ-экспертов с помощью соцсетей

Хакеры пытаются украсть PoC-коды у ИБ-экспертов с помощью соцсетей

Специалистов по поиску и анализу уязвимостей преследуют злоумышленники, которых, по всей видимости, интересуют результаты таких исследований. Авторы необычной кампании создали множество фейковых профилей в соцсетях, а также тематический блог, чтобы вступить в контакт с экспертами, завоевать их доверие и установить бэкдор на целевые компьютеры.

Аналитики из Google произвели разбор текущих атак и пришли к выводу, что их инициатором, скорее всего, является северокорейская группа хакеров, спонсируемых государством. Доступ к компьютерам ИБ-исследователей им нужен, очевидно, для кражи информации, которую можно использовать в целевых атаках, — такой как еще не опубликованные уязвимости и пробные эксплойты (proof-of-concept, PoC).

Расследование выявило ряд поддельных профилей в Twitter, LinkedIn, Telegram и Keybase, с помощью которых злоумышленники пытаются завязать знакомство с представителями ИБ-сообщества. Они имитируют бурную переписку между выдуманными персонажами, выкладывают видео, хвастаясь мнимыми успехами, а также публикуют ссылки на свой блог.

Заинтересовав намеченную жертву, фальшивый «коллега по цеху» напрямую обращается к ней, предлагая поработать вместе, и прикрепляет к сообщению файл для проекта Visual Studio — код некоего эксплойта, якобы для проверки. Как оказалось, этому эксплойту отведена совсем иная роль: после его отработки на машину исследователя устанавливается кастомный бэкдор, который подключается к C2-серверу и ожидает команд.

В некоторых случаях злоумышленники высылают вредоносный файл по email или пытаются провести атаку через браузер, предлагая собеседнику почитать публикации в блоге. По свидетельству аналитиков, этот сайт, специально созданный в зоне .IO, содержит в основном перепечатки чужих отчетов об уязвимостях, иногда подаваемых как вклад «гостя» — приглашенного эксперта.

При заходе в этот блог по указанной ссылке в системе исследователя регистрируется вредоносная служба, и запускается выполняемый в памяти бэкдор. Его сходство по коду с одним из инструментов, используемых APT-группой Lazarus, подтверждает предположение о северокорейских корнях авторов нападения на ИБ-экспертов.

Примечательно, что от эксплойта в данном случае не спасает ни полностью пропатченная Windows 10, ни новейшая версия Chrome. По всей видимости, злоумышленники используют связку каких-то уязвимостей нулевого дня в ОС и браузере Google. Установлено, что взлому подвергаются только 64-битные версии Windows 10, Windows Server 2019 и Windows Server 2016.

Зафиксирован также случай установки бэкдора на Android с браузером Chrome.

Поскольку схема заражения все еще не ясна, специалисты Google призывают ИБ-сообщество активнее делиться деталями наблюдаемых атак, а также информацией о новых уязвимостях в Chrome, за которую можно получить вознаграждение.

Потенциальным жертвам эксплойта рекомендуется проверить историю браузера на наличие адреса blog[.]br0vvnn[.]io и сверить свои контакты в соцсетях со списком фальшивых профилей, приведенным в блоге Google. Используемые компьютеры и виртуальные машины лучше разделить по назначению: одни использовать только для исследований, другие — для обычной навигации в интернете, общения с коллегами или загрузки присланных файлов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Группа ДОМ.РФ и Positive Technologies заключили соглашение о партнерстве

Группа ДОМ.РФ и компания Positive Technologies подписали соглашение о партнёрстве, направленное на развитие и внедрение отечественных решений для обеспечения информационной безопасности в банковском секторе.

Соглашение станет частью более широкой стратегии по импортозамещению ИБ-продуктов, особенно актуальной для финансовой отрасли.

Финансовые организации традиционно остаются одной из главных целей киберпреступников. По данным Positive Technologies, в 2024 году финансовый сектор вошёл в топ-5 наиболее атакуемых отраслей в России.

Угроза исходит не только со стороны злоумышленников, стремящихся к прямой краже средств, но и от атак на персональные и корпоративные данные, а также попыток дестабилизации работы банков и других учреждений.

В рамках партнёрства Группа ДОМ.РФ планирует реализовать масштабные проекты в сфере информационной безопасности, включая расширенное внедрение российских средств защиты. Уже сейчас в инфраструктуре группы применяются решения Positive Technologies, и их использование будет расширяться.

«Современные ИТ-системы становятся всё более сложными, а методы атак — всё изощрённее. Надёжная защита возможна только при комплексном подходе: от укрепления инфраструктуры до оценки рисков и регулярного обучения сотрудников. Мы уверены, что наш опыт поможет партнёрам из ДОМ.РФ укрепить защиту и повысить прозрачность ИБ-процессов», — отметил Борис Симис, заместитель генерального директора Positive Technologies по развитию бизнеса.

«Мы уделяем особое внимание кибербезопасности нашей масштабной инфраструктуры и делаем ставку на российские технологии. В условиях импортозамещения особенно важно развивать партнёрства с ведущими отечественными вендорами. Это сотрудничество поможет не только нам, но и всей отрасли — за счёт совершенствования решений и их адаптации под реальные потребности», — прокомментировал Николай Козак, управляющий директор Группы ДОМ.РФ.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru