У APT-группы Nobelium появился кастомный Windows-загрузчик — Ceeloader

У APT-группы Nobelium появился кастомный Windows-загрузчик — Ceeloader

У APT-группы Nobelium появился кастомный Windows-загрузчик — Ceeloader

Наблюдатели из Mandiant обнаружили новый кастомный инструмент в арсенале APT29 (в Microsoft эту APT-группу называют Nobelium). Загрузчик Ceeloader избирательно устанавливается на Windows-машины после проникновения в сеть и обеспечивает скрытное исполнение вредоносного шелл-кода.

Кибергруппировка Nobelium, она же APT29, The Dukes и Cozy Bear, известна прежде всего громкой атакой на SolarWinds, затронувшей множество организаций по всему миру. За рубежом этим хорошо обеспеченным хакерам склонны приписывать российские корни.

Целью атак APT-группы является шпионаж; ее интересуют секреты правительственных учреждений, военных организаций, НКО, НИИ, ИТ-компаний, телеком-провайдеров. В своих вылазках Nobelium часто использует легитимные инструменты Windows, но всегда делает ставку на собственные разработки. Так, в атаке на SolarWinds засветился целый ряд новых кастомных зловредов — бэкдор Sunburst, обеспечивающий его установку Sunspot, бэкдоры GoldMax, Sibot и GoldFinder.

Теперь этот арсенал, по данным Mandiant, пополнился специализированным загрузчиком. Написанный на C вредонос Ceeloader примечателен тем, что поддерживает исполнение шелл-кода в памяти.

Код самого зловреда сильно обфусцирован: он щедро замусорен и часто без цели вызывает Windows API. Нужные вызовы при этом скрываются с помощью функции-обертки, которая расшифровывает имя API и динамически разрешает его перед вызовом.

Для коммуникаций Ceeloader использует HTTP, а ответы с C2-сервера расшифровывает, используя AES-256 в режиме CBC. Запрос HTTP содержит статически определенный ID (в сэмплах может варьироваться).

Установку Ceeloader осуществляет развернутый в сети Cobalt Strike Beacon; в зараженной системе создается плановое задание на запуск при каждом входе уровня SYSTEM. Специального механизма для обеспечения постоянного присутствия в системе у нового загрузчика нет. Целевую полезную нагрузку он скачивает из внешнего источника — эксперты выявили два таких WordPress-сайта, по всей видимости, скомпрометированных.

Квантовая сеть РЖД получила аттестат ФСТЭК и вышла на внешний рынок

Магистральная квантовая сеть РЖД прошла аттестацию ФСТЭК. Документ подтвердил, что инфраструктура соответствует требованиям к информационным системам второго класса защищенности. Для РЖД это не просто красивая бумага в рамке.

Теперь компания сможет оказывать услуги на базе квантовой сети сторонним организациям — от банков и промышленных предприятий до медицинских и транспортных компаний.

Главная ставка делается на защиту критически важных данных. Квантовые коммуникации позволяют обнаружить попытку перехвата ключей шифрования: вмешательство в канал меняет состояние передаваемых частиц и не остается незамеченным.

Поэтому технология особенно интересна владельцам объектов критической информационной инфраструктуры, которым обычного «сложного пароля» уже явно недостаточно.

В финансовой отрасли квантовые каналы уже обкатывают Банк России, Федеральное казначейство, Финансовый университет и крупнейшие банки. Потенциальными клиентами также называют нефтегазовые компании, промышленность, здравоохранение и транспорт.

В Минцифры считают, что технология уже достигла достаточно высокого уровня зрелости. Расширение квантовой сети до 2030 года включено в профильную дорожную карту и национальный проект «Экономика данных».

Получается, РЖД постепенно превращается не только в перевозчика пассажиров и грузов, но и в оператора защищенных цифровых магистралей. Рельсы остаются на месте, только теперь по ним условно поедут еще и квантовые ключи.

RSS: Новости на портале Anti-Malware.ru