Китайская кибергруппа атакует скрипт-киддис инфостилером

Китайская кибергруппа атакует скрипт-киддис инфостилером

Китайская кибергруппа атакует скрипт-киддис инфостилером

Новая интересная киберкампания, за которой стоит, предположительно, китайская правительственная группа “Tropic Trooper“, выбрала себе целью скрипт-киддис — неопытных и начинающих киберпреступников. Злоумышленники используют загрузчик Nimbda и свежий вариант трояна Yahoyah.

Интересно, что упомянутый троян входит в состав потенциально опасного инструмента, известного под именем “SMS Bomber“. Такие тулзы, как правило, используются начинающими хакерами для DoS-атак на различные веб-сайты.

Согласно отчёту специалистов Check Point, обративших внимание на атаки китайской кибергруппы, злоумышленники имеют достаточно хорошее представление о криптографии и умело обращаются с AES.

Атаки начинаются с загрузки вредоносной версии SMS Bomber, в которой содержится стандартный бинарник, а также дополнительный злонамеренный код, который внедряется в процесс notepad.exe.

В сущности, это лоадер Nimbda, использующий иконку SMS Bomber и содержащий исполняемый файл инструмента для DoS-атак.

 

Вредонос в фоновом режиме внедряет шелл-код в процесс “notepad“ и пытается соединиться с репозиторием на GitHub. Далее софт фетчит обфусцированный исполняемый файл, расшифровывает его и запускает с помощью техники «выдалбливания процесса» (Process Hollowing).

В итоге жертва получает пейлоад Yahoyah, собирающий данные об инфицированном устройстве. В частности, вредоносную программу интересует следующая информация:

  • Идентификаторы точек Wi-Fi.
  • Имя компьютера.
  • MAC-адрес.
  • Версию операционной системы.
  • Установленные антивирусные программы.
  • Наличие в системе файлов WeChat и Tencent.

На заключительном этапе пейлоад кодируется в JPG-изображение с помощью стеганографии.

 

Стоит также отметить кастомную имплементацию AES: обратная последовательность циклических операций выполняется дважды. Поэтому в отчёте Check Point специалисты называют это “AEES“.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Илья Сачков работает в колонии подсобным на деревообработке

Илья Сачков, основатель компании Group-IB (сейчас в России работает под брендом F6), осуждённый за госизмену, трудится в колонии подсобным рабочим в цехе деревообработки. Об этом стало известно из материалов суда, с которыми ознакомилось РИА Новости.

Сачков начал работать в колонии с января 2025 года. При этом, по данным «РИА Новости» он подал как минимум шесть исков к исправительному учреждению.

Один из них — из-за того, что его поместили в штрафной изолятор после встречи с адвокатом. Поводом стало то, что он не вернулся на рабочее место.

Как указывает защита, Сачков ждал в комнате воспитательной работы, поскольку сам он не имеет права перемещаться по территории колонии без сопровождения. Тем не менее суд жалобу не удовлетворил.

Сачкова осудили в июле 2023 года: Мосгорсуд назначил ему 14 лет строгого режима. Осенью приговор вступил в силу, и его этапировали в колонию. Материалы дела засекречены, как и большинство дел по статье о госизмене.

По данным Генпрокуратуры, Сачков ещё в 2011 году якобы передал секретные сведения иностранной разведке. Сам он свою вину не признаёт, а его защита настаивает, что дело не связано с его компанией.

Незадолго до приговора в верифицированном телеграм-канале Сачкова появилось его письмо, в котором он назвал происходящее «одной из самых успешных операций американских спецслужб» и ударом по российской ИТ-отрасли.

Напомним, весной 2023 года Group-IB завершила разделение бизнеса: российские активы были выкуплены локальными инвесторами и топ-менеджерами. Какое-то время компания в России работала под  названием F.A.C.C.T. (Fight Against Cybercrime Technologies), но в феврале 2025-го переименовалась в F6.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru