С Exchange-серверов рассылают трояна IceID в ответ на украденные письма

С Exchange-серверов рассылают трояна IceID в ответ на украденные письма

С Exchange-серверов рассылают трояна IceID в ответ на украденные письма

Исследователи из Intezer выявили новую вредоносную кампанию, использующую перехват переписки. Хакеры воруют входящую почту на уязвимых серверах Microsoft Exchange и рассылают корреспондентам поддельные ответы с вложенным файлом — зловредом IceID.

Большинство выявленных серверов отправителя плохо пропатчены и доступны из интернета, поэтому израильские эксперты предположили, что злоумышленники используют ProxyShell. Фальшивки распространяются с взломанных аккаунтов, что придает им еще больше убедительности. Среди получателей числятся представители таких сфер, как энергетика, здравоохранение, фармацевтика и право.

Вредонос IceID, он же BokBot, известен ИБ-сообществу с 2017 года. Он дебютировал как банковский троян, однако, подобно TrickBot, впоследствии стал применяться в основном как загрузчик. Эту функциональность зловреда также зачастую используют торговцы доступом к чужим сетям, которые умышленно рассылают его в спаме на адреса целевых организаций.

Летом прошлого года IceID массово распространялся с помощью форм обратной связи на сайтах. Теперь злоумышленники используют с этой целью Microsoft Exchange. Примечательно, что они отказались от вредоносных вложений в форматах Office и перешли на архивированные ISO-файлы — видимо, для обхода защиты Windows, известной как MOTW (маркировка файлов, полученных из интернета, добавлением атрибута Mark of the Web; при отсутствии маркера пользователю выводится предупреждение).

Вредоносный ISO в данном случае содержит два файла — в форматах .lnk и .dll. Первый используется для запуска dll-модуля IceID (с помощью инструмента командной строки regsvr32). Код, исполняемый в памяти компьютера, устанавливает соединение с C2 и ждет команд оператора. В ходе тестирования никаких дополнительных файлов троян не загрузил.

 

Использование текущей переписки жертв взлома для раздачи вредоносных программ — идея далеко не новая, но, видимо, набирающая популярность в криминальных кругах. Такой же прием социальной инженерии использовали авторы недавней Qakbot-кампании, засветившейся на радарах Sophos.

BI.ZONE GRC подтвердил 4-й уровень доверия для ГИС и КИИ

Платформа BI.ZONE GRC подтвердила соответствие четвёртому уровню доверия, что позволяет использовать её в государственных информационных системах и на значимых объектах критической информационной инфраструктуры (КИИ).

Фактически это означает, что решение прошло проверку на соответствие повышенным требованиям к безопасности и может применяться в самых чувствительных с точки зрения защиты данных системах.

В их числе — государственные информационные системы и АСУ ТП до первого класса защищённости, информационные системы персональных данных до первого уровня, системы общего пользования до второго класса, а также значимые объекты КИИ вплоть до первой категории.

BI.ZONE GRC предназначена для централизованного управления процессами кибербезопасности: платформа помогает оценивать риски, выстраивать контроль выполнения требований законодательства и автоматизировать связанные с этим процедуры.

Пройденная сертификация подтверждает, что решение может использоваться не только в коммерческом сегменте, но и в организациях с жёсткими регуляторными ограничениями — в том числе в госсекторе, финансовой сфере, транспорте и логистике.

Как отметил руководитель BI.ZONE GRC Андрей Быков, соответствие установленным требованиям позволяет встраивать GRC-платформу непосредственно в бизнес-процессы организаций, делая управление рисками и безопасностью более прозрачным и измеримым, а не формальным набором отчётов и чек-листов.

BI.ZONE GRC включена в реестр отечественного программного обеспечения и совместима с российскими операционными системами, включая Astra Linux и РЕД ОС.

RSS: Новости на портале Anti-Malware.ru