Госсектор Украины атакуют троянизированные инсталляторы Windows 10

Госсектор Украины атакуют троянизированные инсталляторы Windows 10

Госсектор Украины атакуют троянизированные инсталляторы Windows 10

Специалисты Mandiant выявили вредоносную кампанию, нацеленную на кражу данных у правительственных ведомств Украины. Злоумышленники раздают с торрент-сайтов троянизированные файлы ISO, замаскированные под легитимный установщик Windows 10, и собирают с их помощью информацию, чтобы остановить или продолжить атаку.

Киберкампания, которую в Mandiant отслеживают как UNC4166, была запущена минувшим летом. Вредоносный Win10_21H2_Ukrainian_x64.iso был обнаружен на украинском торрент-трекере Toloka и в ветке форума RuTracker; в первом случае ISO-файл загрузили на сайт из-под аккаунта Isomaker, созданного 11 мая.

 

Анализ показал, что ISO-образ содержит измененные запланированные задания GatherNetworkInfo (отработка VBS-скрипта) и Consolidator (запуск wsqmcons.exe, отправляющего данные на серверы Microsoft). В обоих случаях было добавлено выполнение PowerShell-команды на загрузку с сервера, расположенного в сети Tor (для доступа к C2 используются onion-шлюзы).

Полученные команды тоже выполняются средствами PowerShell, позволяя хакерам провести первичную разведку: получить информацию о зараженной системе, листинг папок (с временными метками), данные геолокации.

В зловредный пакет ISO также включен bat-скрипт, препятствующий детектированию. Он отключает отправку телеметрии в Microsoft, блокирует автообновление Windows и проверку лицензии.

Разведданные взломщики используют для определения ценности атакованной сети. Если жертва представляет интерес, на машину закачивается дополнительная полезная нагрузка:

  • инструмент проксирования трафика Stowaway с функциями бэкдора (поддержка SSH, SOCKS5; загрузка/вывод данных, удаленный шелл, сбор базовой информации);
  • маячок Cobalt Strike;
  • вспомогательный бэкдор Sparepart — облегченный, написанный на C зловред, способный загружать задачи и выполнять их, создавая новый процесс;
  • инструменты для эксфильтрации данных (TOR Browser, HTTP-сервер Sheret).

Эксперты нашли несколько зараженных устройств в сетях украинских госструктур. Поскольку свидетельств корыстного интереса не выявлено, в Mandiant заключили, что целью атак UNC4166 является кража данных у правительства Украины.

39% компаний в России обходятся без динамической ИТ-инфраструктуры

Почти четыре из десяти российских компаний до сих пор не используют динамическую ИТ-инфраструктуру. Об этом свидетельствуют результаты опроса зрителей эфира AM Live, где эксперты обсуждали развитие динамических систем и переход бизнеса к более гибким моделям.

По данным опроса, 39% компаний вообще не применяют динамическую инфраструктуру. Как отметил архитектор UserGate Михаил Кадер, цифра выглядит неожиданной на фоне активных разговоров о цифровой трансформации.

Впрочем, генеральный директор «Флант» Александр Титов считает, что противоречия здесь нет. В эфире в основном говорили о компаниях, создающих собственные цифровые продукты. У многих организаций иная специализация, поэтому они могут обходиться без динамической модели. Хотя, по его мнению, даже такие компании могли бы использовать её для экономии ресурсов и оптимизации мощностей.

Руководитель продуктового департамента Скала^р Группы Rubytech Роман Бычков добавил, что такие результаты показывают масштаб потенциального рынка — поле для развития решений в этой сфере по-прежнему широкое.

В то же время директор департамента продуктового развития гибридных и частных облаков Cloud.ru Руслан Иванов обратил внимание на другую сторону статистики: большинство участников понимают, что такое динамическая инфраструктура и как она работает. А значит, интерес к теме есть, и обсуждение идёт не в пустоту.

Эксперты сошлись во мнении, что динамическая модель помогает снижать операционные издержки и эффективнее использовать вычислительные ресурсы. Однако переход к ней даётся не всем легко. В другом вопросе опроса 67% респондентов назвали главным препятствием сложности интеграции с существующими системами, а 51% — риски сбоев при миграции.

Коммерческий директор ITKey Вячеслав Самарин отметил, что вендоры сегодня предлагают сопровождение и поддержку при переходе, стараясь сделать миграцию максимально безболезненной.

В целом участники эфира согласились: динамическая инфраструктура перестала быть инструментом только для ИТ-лидеров. Сегодня она может быть полезна компаниям самых разных отраслей — от ретейла до промышленности.

RSS: Новости на портале Anti-Malware.ru