Маячок Cobalt Strike портирован на Linux, используется в атаках

Маячок Cobalt Strike портирован на Linux, используется в атаках

При разборе недавних целевых атак эксперты израильской ИБ-компании Intezer обнаружили Linux-версию Cobalt Strike Beacon. Находка, пока плохо детектируемая антивирусами, получила условное название Vermilion Strike.

Данные телеметрии показали, что злоумышленники взяли этот бэкдор на вооружение в прошлом месяце. Он был замечен в точечных атаках против госструктур, телеком-провайдеров, ИТ-компаний и финансовых институтов разных стран. Исследование выявило также созданные с нуля образцы Windows-версии Cobalt Strike Beacon, привязанные к тому же C2-серверу.

Анализ показал, что Vermilion Strike ориентирован на дистрибутивы Linux, использующие базовый код Red Hat. По функциональности зловред схож с исходным маячком: работает в фоновом режиме, обеспечивая оператору удаленный доступ, и способен выполнять шелл-команды, получать доступ к файлам на запись, а также выгружать произвольные файлы на свой сервер.

Первый сэмпл Vermilion Strike был загружен на VirusTotal 10 августа из Малайзии. На тот момент эту угрозу не смог распознать ни один антивирус на сервисе. По состоянию на 14 сентября его детектят 14 из 59 сканеров в коллекции.

Код Windows-версии маячка Cobalt Strike был переписан, видимо, с той же целью — уберечь инструмент атаки от обнаружения. Тулкит, в состав которого он входит, вполне легитимен; специалисты по ИБ обычно используют его для оценки защищенности ИТ-инфраструктуры.

Маячок же (beacon) при этом устанавливается в системы, чтобы сымитировать действия гипотетического злоумышленника после проникновения в сеть. Официальной Linux-версии Cobalt Strike Beacon не существует, он ориентирован на Windows-окружение.

К сожалению, киберкриминал тоже оценил по достоинству возможности Cobalt Strike. Последние годы этот набор инструментов зачастую используется для внедрения в сети программ-шифровальщиков, и антивирусы уже научились опознавать такую полезную нагрузку.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

На ЦИПР стартует третий Международный киберчемпионат по ИБ

В рамках ежегодной конференции «Цифровая индустрия промышленной России» (ЦИПР), которая будет проходить с 21 по 24 мая 2024 года, ГК «Солар» организует Международный киберчемпионат по информационной безопасности.

В соревновании примут участие команды реагирования на кибератаки российских и зарубежных системообразующих организаций, а также сотрудники SOC и представители коммерческих центров противодействия атакам.

Как отметили в ГК «Солар», в этом году организаторы получили более 180 заявок из 21 страны, после чего отобрали 40 команд из 18 стран, в том числе из стран СНГ, Азиатско-Тихоокеанского региона, Ближнего Востока, Африки и Южной Америки. В финал попадут лишь пять команд, которых выделят на отборочном этапе.

Поскольку сегодня атаки в киберпространстве входят в список глобальных рисков, а формирование цифрового суверенитета актуально для всех стран, российские и зарубежные компании проявляют высокий интерес к Международному киберчемпионату.

Соревнования пройдут на киберполигоне ГК «Солар», как это было в предыдущие годы. Специалисты построили его на базе программного комплекса «Солар Кибермир» (читай наш обзор рынка киберполигонов).

Организаторы подготовили 45 типовых ИТ-инфраструктур: 40 — для отборочного этапа (на двух из них будут организованы обучающие брифинги) и 5 — для финала. В подготовке Киберчемпионата задействовано более 50 человек.

Отборочный этап (пройдёт 15 мая) позволит участникам отразить массированную атаку кибергруппировки на инфраструктуру критически важного объекта. Чтобы попасть в финал, необходимо набрать наибольшее количество баллов за отражение и расследование атак.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru