Китайская APT-группа атаковала целевым фишингом ЦКБ МТ Рубин

Китайская APT-группа атаковала целевым фишингом ЦКБ МТ Рубин

Китайская APT-группа атаковала целевым фишингом ЦКБ МТ Рубин

Исследователи из команды Cybereason Nocturnus, следя за активностью операторов эксплойт-билдера RoyalRoad (8.t Dropper/RTF), вышли на интересную кампанию китайской APT-группировки. Оказалось, что целевые атаки киберпреступников были направлены на российскую оборонку.

Сначала специалисты обнаружили новые образцы RoyalRoad, которые на тот момент уже использовались в реальных кибератаках. Один из таких семплов поразил экспертов не совсем типичным поведением: он доставлял жертвам бэкдор PortDoor, ранее не попадавший в руки исследователей.

Изучив вредонос подробнее, специалисты пришли к выводу, что его операторы, скорее всего, действуют в интересах китайского правительства. Однако вишенкой на торте стало обнаружение основной цели APT-группировки — Центрального конструкторского бюро морской техники «Рубин». 

Как известно, это одно из основных российских предприятий, занимающихся проектированием подводных лодок. С 1938 года ЦКБ МТ «Рубин» тесно связано с военно-морскими силами России и, соответственно, является привлекательной мишенью для правительственных киберпреступников.

На первом этапе атак китайская APT-группа использует целевой фишинг. Например, одно из таких писем пришло на имя генерального директора ЦКБ МТ «Рубин» — Игоря Владимировича Вильнита.

 

В письме содержалось вредоносное вложение в виде RTF-файла, оснащённого пейлоадом RoyalRoad. Согласно метаданным, этот файл был создан в 2007 году, однако злоумышленники часто меняют эти сведения, чтобы запутать исследователей или защитные механизмы.

После запуска RTF-файла на компьютер жертвы помещался документ Microsoft Word — использование этого формата также обусловлено желанием обойти детектирование. Далее в дело вступал ранее неизвестный бэкдор под именем «winlog.wll».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Сайты будут штрафовать за аутентификацию через зарубежные сервисы

Группа депутатов внесла в Госдуму законопроект, который предусматривает штрафы для владельцев сайтов за использование зарубежных сервисов аутентификации пользователей. Для граждан предлагается установить штраф в размере 10–20 тыс. рублей, для организаций — до 700 тыс. рублей.

Документ появился в системе обеспечения законодательной деятельности. Законопроект вводит ответственность за нарушение установленного порядка аутентификации на российских интернет-ресурсах.

Согласно действующей редакции закона «Об информации», аутентификация пользователей на сайтах должна осуществляться одним из следующих способов:

  • через номер мобильного телефона;
  • с использованием единой системы идентификации и аутентификации (ЕСИА);
  • через единую биометрическую систему;
  • с помощью сервиса аутентификации, владельцем которого является гражданин России без иного гражданства.

За нарушение этих требований предусмотрены штрафы: для физических лиц — 10–20 тыс. рублей, для должностных лиц — 30–50 тыс. рублей, для юридических — 500–700 тыс. рублей. При повторном нарушении штрафы удваиваются. Для реализации инициативы предлагается внести изменения в Кодекс об административных правонарушениях.

Кроме того, законопроект устанавливает ответственность за нарушение правил использования рекомендательных технологий. В частности, речь идёт о случаях, когда такие технологии нарушают права российских граждан и организаций, используются без уведомления пользователей, либо если на сайте отсутствуют правила их применения. Также предлагается штрафовать владельцев сайтов за отсутствие контактной информации для обратной связи.

«Обычных пользователей интернета это не коснется — только тех владельцев сайтов и приложений, которые уже два года игнорируют закон. Инициатива направлена на дальнейшее уменьшение зависимости Рунета от решений из недружественных стран», — прокомментировал инициативу один из её авторов, первый зампред Комитета Госдумы по информационной политике, информационным технологиям и связи Антон Горелкин.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru