Китайская APT-группа Billbug провела атаку на центр сертификации

Китайская APT-группа Billbug провела атаку на центр сертификации

Китайская APT-группа Billbug провела атаку на центр сертификации

Команда Symantec, ушедшая под крыло Broadcom, рассказала о новых атаках APT-группы, которую она отслеживает под кодовым именем Billbug. Киберкампания, целью которой является шпионаж, была запущена полгода назад; фактов кражи данных пока не зафиксировано.

Насколько известно, группировка Billbug, она же Lotus Blossom и Thrip, действует в интернете как минимум с 2009 года — предположительно в интересах КНР. Основными мишенями хакеров являются правительственные структуры и военные организации азиатских стран. Идентификации Billbug не боится и часто оперирует инструментами, по которым ее можно вычислить.

Все жертвы новых APT-атак, список которых включает правительственные ведомства, оборонные предприятия и даже один УЦ, базируются в Азии. Иногда взломщикам удается скомпрометировать множество систем в целевой сети.

Случай с УЦ эксперты отметили особо: если в ходе атаки Billbug получила доступ к сертификатам, в дальнейшем она сможет их использовать для подписи вредоносного кода или перехвата HTTPS-трафика. Жертва уже извещена о вторжении; свидетельств компрометации сертификатов пока нет.

Первичный доступ к сетям жертв APT-группа, видимо, получает через эксплойт общедоступных приложений. Затем в ход идут легитимные инструменты, пользующиеся популярностью у хакеров (AdFind, WinRAR, Ping, Traceroute, NBTscan, Certutil, ), а также кастомные бэкдоры Hannotog и Sagerunex.

На машинах жертв обнаружено множество файлов, похожих на загрузчики Hannotog. Сам бэкдор обладает богатой функциональностью:

  • изменяет настройки файрвола;
  • открывает порт 5900 для прослушки;
  • регистрируется как сервис для обеспечения постоянного присутствия;
  • прибивает неугодные службы;
  • собирает информацию о системе;
  • выгружает зашифрованные данные;
  • загружает файлы по выбору оператора, в том числе Stowaway для проксирования трафика и Cobalt Strike.

Найденные семплы Sagerunex не имели вшитой конфигурации, поэтому их тоже загружал Hannotog. Второй кастомный имплант относительно стоек и может общаться с C2-сервером многими способами; почти все новые образцы использовали HTTPS и различные прокси-сервисы, некоторые пытались установить прямую связь.

Из команд, поддерживаемых Sagerunex, выявлены следующие:

  • вывод списка прокси-серверов, заданных в настройках;
  • выполнение программ, DLL, шелл-команд;
  • кража файлов по выбору;
  • получение пути к файлу из конфигурационных данных;
  • запись файла по указанному пути;
  • выбор пути к файлу для выполнения последующих команд.

Мошенники освоили тему разблокировки Roblox для краж с карт родителей

По России массово распространяется новая мошенническая схема, цель которой — получить доступ к платёжным картам пользователей. Поводом становится якобы необходимое списание небольшой суммы для «разблокировки» популярной игровой платформы Roblox. Поскольку схема основана исключительно на социальной инженерии и не требует технических навыков, её активно используют обычные аферисты.

Roblox перестал работать в России 3 декабря. Формальным основанием стали распространение запрещённой информации и высокая активность педофилов. Было несколько случаев, когда виртуальное «общение» переходило в реальные преступления.

При этом платформа остаётся чрезвычайно популярной. Российская аудитория Roblox — 24 млн уникальных пользователей — является третьей по численности в мире после США и Бразилии.

О новой схеме социальной инженерии, связанной с «восстановлением доступа» к Roblox, сетевой «Газете.Ру» рассказал заведующий лабораторией доверенного искусственного интеллекта РТУ МИРЭА Юрий Силаев:

«Суть в том, что преступники предлагают “экстренное решение” — быструю разблокировку аккаунта, редкий предмет или набор внутриигровой валюты — за небольшую плату или даже бесплатно, но требуют данные карты “для проверки”.»

По словам эксперта, введя реквизиты, ребёнок не оплачивает условные 100 рублей, а фактически передаёт злоумышленникам полный удалённый доступ к банковскому счёту. После этого начинаются крупные списания.

Нередко аферисты просят использовать карты взрослых — родителей, бабушек, дедушек, старших братьев или сестёр. Введённые данные привязываются к контролируемому злоумышленниками платёжному сервису, и деньги тратятся до тех пор, пока карта не будет заблокирована.

Эксперт подчёркивает: схема полностью основана на социальной инженерии и не требует технических умений. Он рекомендует использовать для онлайн-игр отдельные карты с минимальными лимитами, а также уделять больше внимания финансовой грамотности детей и подростков.

RSS: Новости на портале Anti-Malware.ru