У APT-группы Nobelium появился кастомный Windows-загрузчик — Ceeloader

У APT-группы Nobelium появился кастомный Windows-загрузчик — Ceeloader

У APT-группы Nobelium появился кастомный Windows-загрузчик — Ceeloader

Наблюдатели из Mandiant обнаружили новый кастомный инструмент в арсенале APT29 (в Microsoft эту APT-группу называют Nobelium). Загрузчик Ceeloader избирательно устанавливается на Windows-машины после проникновения в сеть и обеспечивает скрытное исполнение вредоносного шелл-кода.

Кибергруппировка Nobelium, она же APT29, The Dukes и Cozy Bear, известна прежде всего громкой атакой на SolarWinds, затронувшей множество организаций по всему миру. За рубежом этим хорошо обеспеченным хакерам склонны приписывать российские корни.

Целью атак APT-группы является шпионаж; ее интересуют секреты правительственных учреждений, военных организаций, НКО, НИИ, ИТ-компаний, телеком-провайдеров. В своих вылазках Nobelium часто использует легитимные инструменты Windows, но всегда делает ставку на собственные разработки. Так, в атаке на SolarWinds засветился целый ряд новых кастомных зловредов — бэкдор Sunburst, обеспечивающий его установку Sunspot, бэкдоры GoldMax, Sibot и GoldFinder.

Теперь этот арсенал, по данным Mandiant, пополнился специализированным загрузчиком. Написанный на C вредонос Ceeloader примечателен тем, что поддерживает исполнение шелл-кода в памяти.

Код самого зловреда сильно обфусцирован: он щедро замусорен и часто без цели вызывает Windows API. Нужные вызовы при этом скрываются с помощью функции-обертки, которая расшифровывает имя API и динамически разрешает его перед вызовом.

Для коммуникаций Ceeloader использует HTTP, а ответы с C2-сервера расшифровывает, используя AES-256 в режиме CBC. Запрос HTTP содержит статически определенный ID (в сэмплах может варьироваться).

Установку Ceeloader осуществляет развернутый в сети Cobalt Strike Beacon; в зараженной системе создается плановое задание на запуск при каждом входе уровня SYSTEM. Специального механизма для обеспечения постоянного присутствия в системе у нового загрузчика нет. Целевую полезную нагрузку он скачивает из внешнего источника — эксперты выявили два таких WordPress-сайта, по всей видимости, скомпрометированных.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

DDoS-атаки на финсектор утроились и вывели отрасль в топ-3 целей

Интенсивность DDoS-атак на компании финансового сектора в третьем квартале 2025 года увеличилась втрое по сравнению с аналогичным периодом прошлого года. По итогам квартала отрасль вошла в тройку наиболее атакуемых, наряду с ИТ и телекомом.

Об этом говорится в отчёте RED Security. Согласно результатам исследования, финансовый сектор впервые с начала года поднялся в первую тройку самых атакуемых отраслей, вытеснив оттуда промышленность и цифровые развлекательные сервисы.

По оценкам RED Security, чаще всего киберпреступники нацеливаются на банки. Самая мощная атака достигала пикового значения в 967 Мбит/с, а самая продолжительная длилась 64 часа без перерыва. При отсутствии мер защиты подобные атаки способны полностью парализовать работу организаций.

Более 80% всех зафиксированных инцидентов пришлись на Москву и Московскую область. На втором месте оказался Северо-Западный федеральный округ, на третьем — Поволжский.

«Мы наблюдаем, что злоумышленники всё чаще используют DDoS не только для нанесения прямого финансового ущерба, но и как способ отвлечь внимание специалистов по информационной безопасности во время более сложных атак, направленных на компрометацию инфраструктуры», — отметил руководитель направления управляемых сервисов кибербезопасности RED Security Михаил Горшилин.

По данным компании Servicepipe, специализирующейся на защите от DDoS-атак, на финансовый сектор в первые девять месяцев 2025 года пришлось более трети всех подобных инцидентов. Общее количество атак за год выросло в два раза.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru