Биопроизводственные предприятия атакует метаморфный троян Tardigrade

Биопроизводственные предприятия атакует метаморфный троян Tardigrade

Биопроизводственные предприятия атакует метаморфный троян Tardigrade

Эксперты НКО Bioeconomy Information Sharing and Analysis Center (BIO-ISAC) предупреждает производителей вакцин о появлении новой APT-угрозы — трояна, которому было присвоено кодовое имя Tardigrade. Новоявленный зловред, обладающий функциями загрузчика и бэкдора, умеет быстро приспосабливаться к окружению и работать автономно.

В этом году Tardigrade был дважды обнаружен при разборе целевых атак в области биопроизводства — весной и в октябре. Хакеры запустили в сети шифровальщика, но, против ожидания, не настаивали на уплате выкупа, да и сама записка с требованием была выполнена довольно небрежно.

Как оказалось, авторы атак приготовили жертвам еще один «подарок» — Windows-трояна, способного загружать других вредоносов и модифицировать файлы. На первый взгляд он был схож со Smoke Loader / Dofoil, однако анализ показал, что новый зловред гораздо сложнее и предлагает больше возможностей для кастомизации.

После установки Tardigrade ищет сохраненные пароли, запускает кейлоггер, начинает выводить данные и открывает бэкдор. Новобранец также оказался метаморфным — он умеет редактировать и изменять свой код, создавая новые копии. Перекомпиляция производится после установки соединения с C2-сервером — по всей видимости, компилятор скачивается оттуда.

В результате сигнатуры Tardigrade постоянно меняются. Исследователи протестировали зловреда почти 100 раз и при каждом прогоне получали новую сборку и новый вариант коммуникаций. Это сильно затрудняет обнаружение с помощью сигнатурного анализа. Когда в BIO-ISAC только приступили к анализу, их находку детектировали лишь два антивируса на VirusTotal; к 24 ноября их число увеличилось до 47.

В тех случаях, когда C2-сервер недоступен, троян переходит на автономный режим и сам выбирает файлы для модификации, пригодные для заражения машины в сети, а также принимает решения по эскалации привилегий.

Судя по сложности кода, Tardigrade по карману только какой-нибудь APT-группе. Уже понятно, что целью атак, попавших в поле зрения экспертов, являлся как минимум шпионаж, а возможно, и саботаж в придачу.

 

Распространяется вредонос, по всей видимости, с помощью адресных рассылок. Нельзя исключить и другие возможности — зараженные USB-флешки, использование способности Tardigrade самостоятельно перемещаться в другие сети при наличии правильных межсоединений.

В качестве IoC исследователи отметили обращения к серверам AWS, GoDaddy и CDN-провайдера Akamai.

Сбор денег в соцсетях может привести к блокировке карты

Популярные в соцсетях сборы средств могут обернуться блокировкой счетов со стороны банков, а также вниманием налоговых органов. Кроме того, в отдельных случаях такую деятельность могут квалифицировать как незаконное предпринимательство или мошенничество, что уже влечёт уголовную ответственность.

О таких рисках в комментарии для РИА Новости предупредила юрист, член Союза юристов-блогеров на базе МГЮА имени Олега Кутафина при Ассоциации юристов России Евгения Сабитова.

В последнее время в соцсетях получили распространение сборы небольших сумм. Владельцы страниц просят подписчиков перевести им, например, 50–100 рублей на погашение кредита, в том числе ипотеки.

Как отметила юрист, формально такая практика не запрещена. Однако юридические риски всё же есть. Если будет доказано, что владелец страницы вводил подписчиков в заблуждение относительно своего материального положения, его действия могут подпасть под статью 159 УК РФ (мошенничество). Максимальное наказание по ней достигает 10 лет лишения свободы.

Кроме того, систематическое поступление средств может привлечь внимание налоговых органов с точки зрения соблюдения требований Налогового кодекса. Банки, в свою очередь, вправе блокировать переводы при подозрении на мошеннические операции или отмывание средств, полученных преступным путём. Ранее уже были прецеденты блокировок даже при переводах самому себе на небольшие суммы.

В то же время Банк России назвал информацию о массовых блокировках переводов некорректной. В ЦБ также заявили, что постоянно совершенствуют механизмы выявления противоправных операций и реабилитации клиентов, пострадавших из-за ложноположительных срабатываний антифрод-систем.

RSS: Новости на портале Anti-Malware.ru