Lazarus сменила мишени и атакует оборонку, используя бэкдор ThreatNeedle

Lazarus сменила мишени и атакует оборонку, используя бэкдор ThreatNeedle

Lazarus сменила мишени и атакует оборонку, используя бэкдор ThreatNeedle

По данным «Лаборатории Касперского», APT-группа Lazarus, обычно атакующая финансовые организации, в середине прошлого года сменила свои предпочтения и теперь активно интересуется успехами оборонной промышленности. Основным оружием злоумышленников при этом является бесфайловый зловред ThreatNeedle. От шпионских атак Lazarus уже пострадали организации из десятка стран.

Целевые атаки с использованием ThreatNeedle исследователи наблюдают более двух лет. Этот бэкдор в Kaspersky относят к семейству Manuscrypt, также известному как NukeSped. Ранее ThreatNeedle был замечен в атаках на криптовалютные биржи и разработчика игр для мобильных устройств, а совсем недавно он всплыл в ходе вредоносной кампании, нацеленной на кражу информации у баг-хантеров.

Атаки Lazarus на оборонные предприятия, согласно Kaspersky, начинаются с рассылки поддельных писем на адреса целевого предприятия, собранные из открытых источников. В прошлом году злоумышленники активно использовали тему COVID-19 и распространяли свои сообщения от имени медицинского центра, входящего в состав атакуемой организации.

Фальшивые письма были снабжены вложением в виде документа Microsoft Word с вредоносным макросом либо содержали ссылку на такой файл, загруженный на удаленный сервер.

Анализ образца документа-приманки показал, что текст, используемый для отвода глаз, скопирован из статьи на сайте некоего медучреждения. Если получатель откроет файл и, следуя подсказке, запустит зловредный макрос, на его машину загрузится ThreatNeedle, что позволит авторам атаки захватить контроль над системой.

Далее злоумышленники с его помощью проводят разведку, определяя источники ценной информации в атакуемой сети, и, используя инсталлятор ThreatNeedle, распространяют инфекцию по сети. Продвигаясь вширь по сети, они также развертывают дополнительные программы для извлечения данных и вывода их на свои сервера.

 

По свидетельству аналитиков, основной модуль ThreatNeedle — бэкдор — обладает обширным набором функций. Он умеет собирать информацию о зараженной системе, выполнять операции с файлами, уходить в режим сна, обновлять свои настройки и совершать другие действия по команде с C2-сервера.

Расследование также показало, что, хозяйничая в сети, злоумышленники для сбора данных используют утилиту Responder, а для заражения других компьютеров — различные инструменты Windows. Примечательно, что Lazarus удалось добраться даже до изолированного сегмента, лишенного какой-либо связи с корпоративной сетью и возможности выхода в интернет. Преодолеть сегментацию сети атакующие смогли, получив доступ к виртуальной машине, выполнявшей функцию внутреннего маршрутизатора, и настроив на ней прокси-сервер.

Вывод краденых данных злоумышленники осуществляли поэтапно: сначала переносили все копии в скомпрометированные системы корпоративного сегмента сети, а затем создали SSH-туннели и по ним с помощью специальной утилиты отправили добычу на свой сервер, расположенный в Южной Корее.

Операторы большой четвёрки договорились с МАКС о доставке кодов входа

Билайн, МТС, Мегафон и Т2 подписали стратегические соглашения с национальным мессенджером МАКС. Партнёрство позволит использовать платформу для отправки пользователям авторизационных, сервисных и транзакционных сообщений.

Проще говоря, в МАКС можно будет получать коды подтверждения для входа в разные сервисы, а также уведомления от компаний и организаций. При этом интеграция с платформой будет доступна не только операторам «большой четвёрки», но и всем российским операторам связи.

Для удобства сообщения в МАКС будут автоматически распределяться по двум защищённым папкам: «Коды подтверждения» и «Полезные уведомления». Обе папки получат специальный знак верификации.

Отдельное внимание уделят важным уведомлениям. Они будут приходить только на доверенное устройство, которое пользователь укажет сам. Эту технологию уже протестировали совместно с Минцифры, и она используется как основная для входа в приложение Госуслуг.

Новый канал доставки будет работать в рамках действующих соглашений операторов с бизнес-клиентами. С технической точки зрения компаниям не придётся перестраивать рассылки: всё должно работать на прежних настройках.

В дальнейшем через МАКС бизнес сможет отправлять не только обычные текстовые уведомления, но и более насыщенные сообщения в формате Rich Media. В них можно будет добавлять изображения, GIF, видео, аудио и кнопки для быстрых действий.

В Билайне отметили, что новый канал доставки сообщений станет дополнением к СМС и не потребует дополнительных действий со стороны пользователей и бизнес-клиентов. В Т2 подчеркнули, что компании-партнёры уже интересуются запуском уведомлений в МАКС на фоне роста роли национального мессенджера.

В Мегафоне добавили, что если доставить сообщение в МАКС не получится, его продублируют по СМС без дополнительной платы. В МТС заявили, что операторы будут управлять маршрутизацией сообщений в рамках утверждённых сценариев и обеспечивать их своевременную доставку.

В VK, развивающей МАКС, назвали партнёрство началом формирования нового стандарта коммуникаций компаний с клиентами: пользователи должны получить больше удобства и безопасности, а бизнес — новые мультимедийные возможности для общения с аудиторией.

RSS: Новости на портале Anti-Malware.ru