Group-IB разделяет российские и международные активы

Group-IB разделяет российские и международные активы

Group-IB разделяет российские и международные активы

ИБ-компания Group-IB создала новую, полностью автономную структуру для работы в России и СНГ. Решение отделить российский бизнес от международного, по словам экспертов, вызвано стремлением сохранить возможность «следовать своей миссии — борьбе с киберпреступностью во всем мире — независимо от внешних обстоятельств».

Отныне российская выручка GIB будет полностью расходоваться на развитие локального бизнеса. В течение полугода будет также изменена структура собственности и состав акционеров в глобальных и локальных активах.

«Мы считаем, что этот шаг даст нам больше рыночной свободы и позволит ускорить развитие бизнеса во всех регионах присутствия Group-IB, а также приблизит нас к достижению нашей цели — стать наиболее влиятельной силой в борьбе с компьютерной преступностью», — заявил гендиректор Group-IB Global Дмитрий Волков.

В пресс-релизе сказано, что управление новым региональным подразделением передано локальному менеджменту — кому именно, не уточняется. Центры исследования киберугроз в Европе, Азиатско-Тихоокеанском регионе и на Ближнем Востоке остались в ведении штаб-квартиры GIB в Сингапуре.

В компании подчеркивают, что все ее региональные подразделения, включая российское, самодостаточны и обладают необходимой технологической инфраструктурой, а также штатом экспертов, способных обеспечивать функционирование ключевых направлений бизнеса — разработки продуктов для предотвращения кибератак, реагирований на инциденты, компьютерной криминалистики, сбора и анализа данных Threat Intelligence, проведения пентестов, исследований киберпреступлений и проч.

В ближайших планах — ускорение глобальной программы обмена экспертизой и релокации, запущенной в 2019 году с открытием штаб-квартиры в Сингапуре, а также расширение штата специалистов во всех регионах. Долгосрочная стратегия GIB нацелена на «создание первой в мире независимой и децентрализованной компании по кибербезопасности, опирающейся на автономные центры противодействия киберпреступности для поддержки клиентов и развития партнерской сети в каждом крупном экономическом регионе».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Шифровальщик LockBit все еще жив и обрел загрузчик, позволяющий обойти EDR

Проведенный в Flashpoint анализ LockBit 5.0 подтвердил, что новая версия зловреда построена на базе v4.0. Шифровальщик также стал еще более скрытным из-за использования кастомного загрузчика и обрел деструктивные функции.

С выпуском LockBit 5.0 его развертывание стало осуществляться в два этапа: вначале загружается самостоятельный лоадер, обеспечивающий обход EDR, а затем — основной пейлоад, не утративший прежних функций.

Шифровальщик по-прежнему откатывает исполнение на машинах жителей стран СНГ, но стал обходить стороной также Филиппины. Записка с требованием выкупа (ReadMeForDecrypt.txt) содержит привычный текст, сохранилась даже опечатка в англоязычном слове «информация» — «inforTmation».

 

Для обхода EDR новый загрузчик LockBit использует технику process hollowing (для внедрения вредоноса в экземпляр defrag.exe), отвязку библиотек (повторно загружает с диска чистые NTDLL и Kernel32, перезаписывая в памяти хуки защитных решений), патчинг трассировки событий Windows, а также скрывает расширения файлов.

Изолированный от основного пейлоада зловред умеет распознавать вызовы API по хешам, перенаправлять поток исполнения на разрешенные вызовы API, динамически рассчитывать адреса перехода для обфускации потока управления.

Обновленный LockBit научился обрабатывать данные на локальных и сетевых дисках, в папках по выбору оператора, а также работать в многопоточном режиме с использованием XChaCha20.

Опциональные деструктивные функции позволяют зловреду шифровать файлы незаметно для жертвы — не меняя расширений и без вывода записки с требованием выкупа.

Результаты анализа показали, что грозный шифровальщик все еще актуален как угроза и даже продолжает развиваться — невзирая на попытки ликвидации инфраструктуры LockBit, взлом сайта RaaS (Ransomware-as-a-Service, вымогательский софт как услуга) и слив переписки в рамках LockBit-партнерки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru