Lazarus сменила мишени и атакует оборонку, используя бэкдор ThreatNeedle

Lazarus сменила мишени и атакует оборонку, используя бэкдор ThreatNeedle

Lazarus сменила мишени и атакует оборонку, используя бэкдор ThreatNeedle

По данным «Лаборатории Касперского», APT-группа Lazarus, обычно атакующая финансовые организации, в середине прошлого года сменила свои предпочтения и теперь активно интересуется успехами оборонной промышленности. Основным оружием злоумышленников при этом является бесфайловый зловред ThreatNeedle. От шпионских атак Lazarus уже пострадали организации из десятка стран.

Целевые атаки с использованием ThreatNeedle исследователи наблюдают более двух лет. Этот бэкдор в Kaspersky относят к семейству Manuscrypt, также известному как NukeSped. Ранее ThreatNeedle был замечен в атаках на криптовалютные биржи и разработчика игр для мобильных устройств, а совсем недавно он всплыл в ходе вредоносной кампании, нацеленной на кражу информации у баг-хантеров.

Атаки Lazarus на оборонные предприятия, согласно Kaspersky, начинаются с рассылки поддельных писем на адреса целевого предприятия, собранные из открытых источников. В прошлом году злоумышленники активно использовали тему COVID-19 и распространяли свои сообщения от имени медицинского центра, входящего в состав атакуемой организации.

Фальшивые письма были снабжены вложением в виде документа Microsoft Word с вредоносным макросом либо содержали ссылку на такой файл, загруженный на удаленный сервер.

Анализ образца документа-приманки показал, что текст, используемый для отвода глаз, скопирован из статьи на сайте некоего медучреждения. Если получатель откроет файл и, следуя подсказке, запустит зловредный макрос, на его машину загрузится ThreatNeedle, что позволит авторам атаки захватить контроль над системой.

Далее злоумышленники с его помощью проводят разведку, определяя источники ценной информации в атакуемой сети, и, используя инсталлятор ThreatNeedle, распространяют инфекцию по сети. Продвигаясь вширь по сети, они также развертывают дополнительные программы для извлечения данных и вывода их на свои сервера.

 

По свидетельству аналитиков, основной модуль ThreatNeedle — бэкдор — обладает обширным набором функций. Он умеет собирать информацию о зараженной системе, выполнять операции с файлами, уходить в режим сна, обновлять свои настройки и совершать другие действия по команде с C2-сервера.

Расследование также показало, что, хозяйничая в сети, злоумышленники для сбора данных используют утилиту Responder, а для заражения других компьютеров — различные инструменты Windows. Примечательно, что Lazarus удалось добраться даже до изолированного сегмента, лишенного какой-либо связи с корпоративной сетью и возможности выхода в интернет. Преодолеть сегментацию сети атакующие смогли, получив доступ к виртуальной машине, выполнявшей функцию внутреннего маршрутизатора, и настроив на ней прокси-сервер.

Вывод краденых данных злоумышленники осуществляли поэтапно: сначала переносили все копии в скомпрометированные системы корпоративного сегмента сети, а затем создали SSH-туннели и по ним с помощью специальной утилиты отправили добычу на свой сервер, расположенный в Южной Корее.

В платформе Security Vision обновили API, формы, экспорт, проверку вложений

Компания Security Vision выпустила новое обновление своей платформы. В этот раз разработчики сосредоточились не на одной большой функции, а сразу на нескольких практических направлениях: API и интеграционных сценариях, экспорте и переносе настроек, визуализации данных, работе с формами, а также на механизмах безопасности и аудита.

Одна из заметных доработок касается API. В методе получения объектов платформы появилась возможность выгружать свойства объектов, связанных с исходным.

На практике это должно упростить интеграцию с внешними системами и работу со связанными данными в более сложных сценариях автоматизации.

Изменения затронули и рабочие процессы. В действие «Вызов коннектора» добавили возможность переопределять конфигурацию JEA для PowerShell-коннектора. Это даёт больше контроля над тем, как именно выполняются интеграционные сценарии.

Отдельный блок изменений связан с экспортом и переносом конфигурации. Теперь при экспорте настроек правила корреляции можно выбрать, выгружать их вместе с обработчиком или без него. Такой подход делает перенос между контурами более гибким и позволяет точнее собирать пакеты под конкретные задачи.

Также доработали логику применения признака «Только для вставки» в подготовленных пакетах экспорта. Эта настройка стала точнее работать по отношению к исходной сущности и дочерним элементам, что должно снизить вероятность ошибок при переносе конфигурации.

Есть и обновления в части аналитики и визуализации. В платформе появилась возможность ограничивать количество категорий данных на виджете. Те категории, которые не попадают в заданный лимит, можно либо объединять одним цветом, либо вообще не показывать. Это полезно в случаях, когда данных много и визуализация начинает терять читаемость.

Для блока содержимого «Граф» добавили обводку иконок объектов. Изменение небольшое, но вполне практичное: в сложных схемах и связях так проще выделять нужные элементы.

Ещё одна группа доработок касается форм и связанных данных. Для связанных таблиц, которые настраиваются в формах ввода и вывода для свойства типа «Таблица», появился отдельный редактор. Это должно сделать работу со сложными структурами данных удобнее и понятнее.

В части безопасности обновление тоже получилось вполне прикладным. В чате реализовали проверку прикрепляемых файлов не только по формату, но и по сигнатуре. Такой подход помогает лучше отсеивать нежелательные или потенциально опасные вложения.

Кроме того, в журнале аудита теперь фиксируется IP-адрес хоста, с которого пользователь выполнил действие через веб-интерфейс. Для расследований, контроля действий и общего понимания пользовательской активности это вполне полезное дополнение.

RSS: Новости на портале Anti-Malware.ru