Lazarus сменила мишени и атакует оборонку, используя бэкдор ThreatNeedle

Lazarus сменила мишени и атакует оборонку, используя бэкдор ThreatNeedle

Lazarus сменила мишени и атакует оборонку, используя бэкдор ThreatNeedle

По данным «Лаборатории Касперского», APT-группа Lazarus, обычно атакующая финансовые организации, в середине прошлого года сменила свои предпочтения и теперь активно интересуется успехами оборонной промышленности. Основным оружием злоумышленников при этом является бесфайловый зловред ThreatNeedle. От шпионских атак Lazarus уже пострадали организации из десятка стран.

Целевые атаки с использованием ThreatNeedle исследователи наблюдают более двух лет. Этот бэкдор в Kaspersky относят к семейству Manuscrypt, также известному как NukeSped. Ранее ThreatNeedle был замечен в атаках на криптовалютные биржи и разработчика игр для мобильных устройств, а совсем недавно он всплыл в ходе вредоносной кампании, нацеленной на кражу информации у баг-хантеров.

Атаки Lazarus на оборонные предприятия, согласно Kaspersky, начинаются с рассылки поддельных писем на адреса целевого предприятия, собранные из открытых источников. В прошлом году злоумышленники активно использовали тему COVID-19 и распространяли свои сообщения от имени медицинского центра, входящего в состав атакуемой организации.

Фальшивые письма были снабжены вложением в виде документа Microsoft Word с вредоносным макросом либо содержали ссылку на такой файл, загруженный на удаленный сервер.

Анализ образца документа-приманки показал, что текст, используемый для отвода глаз, скопирован из статьи на сайте некоего медучреждения. Если получатель откроет файл и, следуя подсказке, запустит зловредный макрос, на его машину загрузится ThreatNeedle, что позволит авторам атаки захватить контроль над системой.

Далее злоумышленники с его помощью проводят разведку, определяя источники ценной информации в атакуемой сети, и, используя инсталлятор ThreatNeedle, распространяют инфекцию по сети. Продвигаясь вширь по сети, они также развертывают дополнительные программы для извлечения данных и вывода их на свои сервера.

 

По свидетельству аналитиков, основной модуль ThreatNeedle — бэкдор — обладает обширным набором функций. Он умеет собирать информацию о зараженной системе, выполнять операции с файлами, уходить в режим сна, обновлять свои настройки и совершать другие действия по команде с C2-сервера.

Расследование также показало, что, хозяйничая в сети, злоумышленники для сбора данных используют утилиту Responder, а для заражения других компьютеров — различные инструменты Windows. Примечательно, что Lazarus удалось добраться даже до изолированного сегмента, лишенного какой-либо связи с корпоративной сетью и возможности выхода в интернет. Преодолеть сегментацию сети атакующие смогли, получив доступ к виртуальной машине, выполнявшей функцию внутреннего маршрутизатора, и настроив на ней прокси-сервер.

Вывод краденых данных злоумышленники осуществляли поэтапно: сначала переносили все копии в скомпрометированные системы корпоративного сегмента сети, а затем создали SSH-туннели и по ним с помощью специальной утилиты отправили добычу на свой сервер, расположенный в Южной Корее.

ИнфоТеКС представила квантовый генератор случайных чисел ViPNet QRNG

Компания «ИнфоТеКС» сообщила о расширении линейки квантовых криптографических систем ViPNet QCS. В неё вошёл новый продукт — ViPNet QRNG, квантовый генератор случайных чисел. Это устройство создаёт случайные последовательности не за счёт программных алгоритмов и не на базе обычных шумовых процессов, а с опорой на квантовые явления.

Именно это и считается его ключевой особенностью: такая генерация должна быть не псевдослучайной, а физически непредсказуемой.

Подобные последовательности нужны в самых разных задачах. В первую очередь — в криптографии, где случайные числа используются при создании секретных ключей для симметричных и асимметричных алгоритмов. Но область применения этим не ограничивается: такие решения могут использоваться и в исследовательских проектах, и в финансовой сфере, и в некоторых сценариях, связанных с ИИ.

Сам генератор выполнен в формфакторе M.2, то есть его можно встраивать в программно-аппаратные комплексы. По замыслу разработчика, устройство может применяться как альтернатива и программным генераторам случайных чисел, и более привычным аппаратным решениям, которые опираются на шумовые процессы.

В основе работы ViPNet QRNG лежит детектирование квазиоднофотонного излучения светодиода с последующей математической обработкой полученного сигнала. Источником такого излучения выступает полупроводниковый светодиод, работающий в непрерывном режиме. Это, как утверждает компания, позволяет повысить интенсивность поступления фотонов на детектор. При этом сам путь от источника излучения к фотодетектору сделан максимально коротким.

В компании отмечают, что при разработке устройства особое внимание уделялось не только самой генерации случайности, но и вопросам воспроизводимости характеристик и проверяемости качества получаемых последовательностей. Это важный момент: в криптографии мало просто заявить, что числа случайны, — нужно ещё подтвердить, что источник энтропии действительно даёт надёжный результат.

По словам представителей «ИнфоТеКС», новый генератор уже используется в некоторых продуктах ViPNet. Также предполагается, что его можно будет интегрировать и в решения других производителей СКЗИ.

RSS: Новости на портале Anti-Malware.ru