TrickBot-банда обновила свой бэкдор AnchorDNS до AnchorMail

TrickBot-банда обновила свой бэкдор AnchorDNS до AnchorMail

TrickBot-банда обновила свой бэкдор AnchorDNS до AnchorMail

Исследователи из IBM X-Force обнаружили новую версию бэкдора AnchorDNS, которого операторы TrickBot избирательно устанавливали на зараженные компьютеры. Этот дополнительный зловред стал еще более скрытным: для связи с C2 он использует не DNS-туннель, как прежде, а каналы электронной почты, защищенные шифрованием.

Бэкдор AnchorDNS появился на интернет-арене 2,5 года назад как компонент фреймворка Anchor. Стоящая за TrickBot группировка (ITG23, или Wizard Spider) пускала его в ход в тех случаях, когда мишень представляла для нее большой интерес. Для загрузки модуля постоянного доступа злоумышленники использовали основного трояна или специализированный софт — BazarLoader, он же BazarBackdoor.

Новая версия AnchorDNS, которую в IBM нарекли AnchorMail, по функциональности мало отличается от прежней. Написанный на C++ вредонос тоже умеет запускать полученные с C2 исполняемые файлы, DLL и шелл-коды, выполнять PowerShell-команды, удалять себя с зараженной машины.

Основное отличие AnchorMail — новый механизм C2-коммуникаций. Для обмена со своим сервером бэкдор использует протоколы SMTP (отправка сообщений) и IMAP (прием) с TLS-защитой.

Чтобы обеспечить себе постоянное присутствие в системе, зловред создает запланированное задание на запуск каждые 10 минут. В настоящее время AnchorMail атакует только Windows-компьютеры, однако можно ожидать, что его портируют на Linux, как это случилось с предшественником.

Находка встревожила экспертов: обновление бэкдора из арсенала TrickBot способно сделать атаки Conti еще более скрытными и опасными. Этот шифровальщик ранее часто распространялся с помощью трояна, а недавно этот симбиоз стал еще более тесным: многие разработчики и лидеры Wizard Spider перешли под крыло синдиката, созданного на основе Conti-сервиса.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Британским военным запретили обсуждать служебные вопросы в автомобилях

Британским военнослужащим запретили обсуждать любые вопросы, связанные со службой, находясь в любом автомобиле. Соответствующие предупреждения разместили на торпедо и приборных панелях всех машин, принадлежащих армии Великобритании как в стране, так и за её пределами.

Причиной стали опасения по поводу возможного прослушивания со стороны китайских спецслужб. О новых мерах сообщил таблоид Daily Mail.

По данным издания, предупреждения появились в сотнях автомобилей, которые используются для перевозки личного состава и грузов вблизи военных баз и других объектов как на территории Британских островов, так и за рубежом.

Сообщения запрещают обсуждать служебные вопросы в салоне автомобиля, а также подчёркивают недопустимость подключения личных устройств к бортовой электросети.

Мера была введена спустя два года после того, как в одном из автомобилей, предназначенных для использования британским правительством, включая премьер-министра, выявили систему скрытого прослушивания.

Инцидент стал поводом для полного отказа от китайского ИТ- и телеком-оборудования в госсекторе Великобритании. Также под запрет попало использование китайских электромобилей в армии и на флоте.

Однако проблемы с безопасностью наблюдались не только у китайских автомобилей. Ещё на раннем этапе распространения технологий подключённых транспортных средств серьёзные уязвимости были обнаружены в автомобилях Nissan. С тех пор зафиксировано множество инцидентов с автомобилями разных производителей — европейских, американских и японских.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru