Китайская APT-группа Billbug провела атаку на центр сертификации

Китайская APT-группа Billbug провела атаку на центр сертификации

Команда Symantec, ушедшая под крыло Broadcom, рассказала о новых атаках APT-группы, которую она отслеживает под кодовым именем Billbug. Киберкампания, целью которой является шпионаж, была запущена полгода назад; фактов кражи данных пока не зафиксировано.

Насколько известно, группировка Billbug, она же Lotus Blossom и Thrip, действует в интернете как минимум с 2009 года — предположительно в интересах КНР. Основными мишенями хакеров являются правительственные структуры и военные организации азиатских стран. Идентификации Billbug не боится и часто оперирует инструментами, по которым ее можно вычислить.

Все жертвы новых APT-атак, список которых включает правительственные ведомства, оборонные предприятия и даже один УЦ, базируются в Азии. Иногда взломщикам удается скомпрометировать множество систем в целевой сети.

Случай с УЦ эксперты отметили особо: если в ходе атаки Billbug получила доступ к сертификатам, в дальнейшем она сможет их использовать для подписи вредоносного кода или перехвата HTTPS-трафика. Жертва уже извещена о вторжении; свидетельств компрометации сертификатов пока нет.

Первичный доступ к сетям жертв APT-группа, видимо, получает через эксплойт общедоступных приложений. Затем в ход идут легитимные инструменты, пользующиеся популярностью у хакеров (AdFind, WinRAR, Ping, Traceroute, NBTscan, Certutil, ), а также кастомные бэкдоры Hannotog и Sagerunex.

На машинах жертв обнаружено множество файлов, похожих на загрузчики Hannotog. Сам бэкдор обладает богатой функциональностью:

  • изменяет настройки файрвола;
  • открывает порт 5900 для прослушки;
  • регистрируется как сервис для обеспечения постоянного присутствия;
  • прибивает неугодные службы;
  • собирает информацию о системе;
  • выгружает зашифрованные данные;
  • загружает файлы по выбору оператора, в том числе Stowaway для проксирования трафика и Cobalt Strike.

Найденные семплы Sagerunex не имели вшитой конфигурации, поэтому их тоже загружал Hannotog. Второй кастомный имплант относительно стоек и может общаться с C2-сервером многими способами; почти все новые образцы использовали HTTPS и различные прокси-сервисы, некоторые пытались установить прямую связь.

Из команд, поддерживаемых Sagerunex, выявлены следующие:

  • вывод списка прокси-серверов, заданных в настройках;
  • выполнение программ, DLL, шелл-команд;
  • кража файлов по выбору;
  • получение пути к файлу из конфигурационных данных;
  • запись файла по указанному пути;
  • выбор пути к файлу для выполнения последующих команд.
Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В Москву прилетели китайские специалисты по киберугрозам

В столицу прибыла группа из 40 китайских кибербезопасников. Речь может идти о совместной подготовке полной блокировки YouTube в России. Часть технологий предоставит армия Китая, остальное “заземлят” на российских и белорусских разработках.

О делегации специалистов из Китая пишет “Октагон.Медиа”. Визит подтверждает возможные договоренности между разведками стран по итогам визита Си Цзиньпина в Москву.

По информации интернет-издания, речь может идти о подготовке дорожной карты полной блокировки YouTube. Китайский “десант” будет помогать с анализом и технической стороной проекта.

Часть технологий от комплекса “великий китайский файрвол” предоставит Народно-освободительная армия Китая, остальное будет базироваться на российских и белорусских разработках, пишут журналисты.

По некоторым сведениям, блокировка YouTube будет возможна уже в IV квартале 2023 года.

Кроме того, китайские специалисты по киберугрозам помогут коллегам с блокировкой всех типов VPN.

По данным “Октагон.Медиа”, пилотный проект могут делегировать “Ростелекому”. В случае успеха полномочия блокировать VPN раздадут всем российским частным и полугосударственным провайдерам.

Добавим, российские власти последовательно отрицают возможность блокировки YouTube в стране. Последний раз комментарии пришлось давать в январе этого года после спорных заявлений бывшего руководителя Роскомнадзора, а ныне главы “Газпром-медиа” Александра Жарова и основателя ЧВК “Вагнер” Евгения Пригожина.

А на этой неделе журнал Forbes написал о том, что VK договаривается с крупными операторами об установке кэширующих серверов на их сетях, чтобы ускорить загрузку видеоконтента у пользователей. Эксперты считают, что своя CDN позволит VK подготовиться к скачку трафика в случае отключения YouTube.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru