Китайская кибергруппировка работает с 9 до 19, используя деление пейлоада

Китайская кибергруппировка работает с 9 до 19, используя деление пейлоада

Китайская кибергруппировка работает с 9 до 19, используя деление пейлоада

Китайская киберпреступная группировка APT41 (другое имя — Winnti) давно привлекает внимание специалистов своим профессиональным подходом к кибератакам. В этот раз активность группы проанализировала компания Group-IB.

Согласно данным экспертов из Group-IB Threat Intelligence, за 2021 год кибергруппировке удалось проникнуть в сети как минимум 13 организаций по всему миру. Исследователи отдельно выделяют анализ «рабочих дней» хакеров.

Активность APT41 уходит корнями аж в 2007 год, причём кибергруппа преследует не только цели кибершпионажа, но и пытается получить финансовую выгоду в ходе атак. В Group-IB выделяют четыре кампании, которые APT41 провела за прошлый год.

Киберпреступники атакуют преимущественно госсектор, сферу здравоохранения, логистики, а также образовательные организации и гостиницы. География операций группы достаточно обширна — среди атакуемых стран есть Китай, Вьетнам, Индия, Тайвань и США.

 

В ходе кампаний злоумышленники используют следующие инструменты для разведки: Acunetix, Nmap, SQLmap, OneForAll, subdomain3, subDomainsBrute, Sublist3r. Интересно, что в начале 2022 года стало известно о применении APT41 UEFI-вредоноса MoonBounce, который невозможно удалить даже заменой жёсткого диска.

Атаки Winnti начинаются «по классике»: жертва получает фишинговое письмо, после чего группировка пытается использовать одну из известных уязвимостей (фигурирует та же Proxylogon). Тем не менее Group-IB отметила ещё один вектор — SQL-инъекции, которые реализуются на сайтах с помощью инструмента SQLmap. Таким способом хакеры проникли в сети жертвы в половине случаев (оказались уязвимы 43 из 86 веб-ресурсов).

Ещё из уникального в атаках APT41 эксперты отмечают ранее не фигурировавший способ деления полезной нагрузки, для чего применялся кастомизированный маячок Cobalt Strike (Beacon). Кстати, в прошлом году этот инструмент был портирован на Linux.

Сначала его компилировали, потом кодировали в Base64, после чего разбивали ровно по 775 символов и добавляли в текстовый файл через определённую команду. Даже отдельные серверы группировки были заточены на размещение фреймворка Cobalt Strike. Помимо этого, хакеры использовали уникальные SSL-сертификаты, замаскированные под Microsoft, Facebook (признана экстремистской, деятельность запрещена на территории России) и CloudFlare.

Одним из самых интересных моментов исследования Group-IB Threat Intelligence является анализ всех временных меток атакующих под UTC+8. Так специалистам удалось выяснить, что группировка начинает активность в 9 часов утра и заканчивает — к 19 часам.

 

На рабочих станциях используются китайские символы. Аналитики обратили внимание на применение специфического формата Pinyin для названия директорий.

Госслужащие Великобритании играли в GTA Online за счёт налогоплательщиков

Британские чиновники играли в GTA Online за счёт налогоплательщиков, но ради общения с гражданами. Пока одни проводят опросы и собирают статистику, госслужащие Туманного Альбиона решили пойти другим путём — отправиться в GTA Online.

Как пишет Telegraph, сотрудники экспериментального подразделения Policy Lab при Министерстве образования Великобритании использовали онлайн-режим Grand Theft Auto для общения с гражданами и проведения своеобразных фокус-групп.

Проект стартовал ещё в конце 2024 года. Его цель звучала серьёзно: помочь чиновникам лучше понять жизненный опыт людей и создать для участников эмоционально безопасное пространство.

Правда, площадкой для этого почему-то стала игра, где можно ограбить ювелирный магазин, взорвать бизнесмена или подвозить проституток клиентам.

 

Во время эксперимента чиновники наблюдали за игроками, общались с ними и вместе выполняли различные миссии. По мнению организаторов, такой формат помогал людям чувствовать себя свободнее и откровеннее рассказывать о своих проблемах.

В отчёте также говорится, что виртуальные встречи оказались особенно полезны для жителей удалённых регионов. Некоторые участники даже получили опыт, недоступный им в реальной жизни — например, успешное управление собственным бизнесом. Правда, речь идёт о бизнесе внутри GTA.

 

За проектом стоит подразделение Policy Lab, которое занимается поиском нестандартных подходов к формированию государственной политики. Ранее эта структура уже организовывала для чиновников семинары по лепке из глины и завязыванию узлов, а также приглашала художников рисовать получателей пособий и потребителей запрещённых веществ для демонстрации их общей человечности.

 

Однако не все оценили креативный подход.

Источник Telegraph в британском правительстве заявил, что подобные эксперименты выглядят сомнительно с точки зрения расходования денег налогоплательщиков. По его словам, министры не поддерживали такие проекты и считают, что у государства есть более важные задачи, чем исследования в виртуальном Лос-Сантосе.

RSS: Новости на портале Anti-Malware.ru