Кибершпионы Cloud Atlas вновь атакуют российский госсектор

Кибершпионы Cloud Atlas вновь атакуют российский госсектор

Кибершпионы Cloud Atlas вновь атакуют российский госсектор

В III квартале Positive Technologies зафиксировала новые атаки Cloud Atlas на территории России. Разбор одной из них показал, что техники и инструменты преступной группы практически не изменились.

Русскоязычная группировка Cloud Atlas, появившаяся на интернет-арене в 2014 году, специализируется на шпионаже и краже конфиденциальных данных. В Positive Technologies ее деятельность отслеживают с 2019 года; по данным ИБ-компании, хакеров в основном интересуют госструктуры России, Белоруссии, Азербайджана, Турции и Словении.

Целевые атаки Cloud Atlas обычно начинаются с поддельного письма с вредоносным вложением. В качестве приманки используются актуальные политические события, представляющие интерес для получателя сообщения.

Адреса отправителя сфальсифицированы, но выглядят убедительно. Так, одна из недавних вредоносных рассылок проводилась от имени «Лента.Ру», при этом письма отправлялись с аккаунта @lenta.ru, который позволяет создать Rambler.

 

Прикрепленный файл Word содержит маскировочный текст, скопированный из легитимного источника, в который вставлена ссылка на вредоносный шаблон на удаленном сервере. Этот файл может содержать макрос или эксплойт (например, CVE-2017-11882).

В ходе исследования специалисты выявили несколько схем многоэтапного заражения, использующих разные инструменты:

 

Своих вредоносов Cloud Atlas тщательно скрывает: использует обфускацию, документированные возможности Microsoft Office, легитимные облачные хранилища (OpenDrive), одноразовые запросы на получение полезной нагрузки.

«Все обнаруженные образцы имели достаточно большой размер, а также были обфусцированы, — комментирует Даниил Колосков, старший специалист отдела PT, занимающегося исследованием ИБ-угроз. — Почти все функции, расшифровывающие загрузчик, содержали большое количество полиморфного кода, используемого для затруднения анализа. Сам загрузчик хранился исключительно в памяти процесса и на диске никаким образом не присутствовал».

Все регистрируемые хакерами C2-серверы используются лишь для удаленной загрузки шаблонов. Исследователям удалось выявить семь таких адресов:

  • checklicensekey.com;
  • comparelicense.com;
  • driver-updated.com;
  • sync-firewall.com;
  • system-logs.com;
  • translate-news.net;
  • technology-requests.net (замаскирован под сайт Hoosier Heights — владельца скалодромов в штате Индиана).

PlayStation теперь требует подключение к интернету раз в 30 дней

Пользователи PlayStation 4 и PlayStation 5 заметили неприятное нововведение: цифровые копии игр теперь могут требовать подключения к интернету раз в 30 дней для проверки лицензии. Жалобы начали появляться в апреле 2026 года.

Владельцы консолей писали, что система просит подтвердить лицензию на игры из PS Store и подключиться к серверам Sony.

Сначала многие решили, что это ошибка, но служба поддержки PlayStation подтвердила: речь идёт о DRM-проверке, а не о случайном сбое.

Ограничение затрагивает цифровые игры и дополнения, купленные после марта 2026 года. Если консоль больше 30 дней не выходит в Сеть, игра может перестать запускаться до повторного подключения к интернету. После проверки доступ должен восстановиться.

Пользователям это, мягко говоря, не понравилось. Главная претензия, которую привёл NikTek в X, не столько в самом подключении к интернету, сколько в вопросе владения цифровыми покупками. Люди купили игру за свои деньги, но теперь фактически зависят от регулярной проверки на стороне Sony.

Критики считают, что консоль не должна блокировать доступ к уже купленным играм только потому, что пользователь долго был офлайн. Особенно это болезненно для тех, кто живёт с нестабильным интернетом, уезжает надолго или принципиально использует консоль без постоянного подключения.

Вокруг ситуации остаётся много вопросов: будет ли компания менять подход, исправлять его как ошибку или оставит 30-дневную проверку для новых цифровых покупок.

RSS: Новости на портале Anti-Malware.ru