Июньская провальная атака на Group-IB — дело рук китайской Tonto Team

Июньская провальная атака на Group-IB — дело рук китайской Tonto Team

Июньская провальная атака на Group-IB — дело рук китайской Tonto Team

Аналитики из Group-IB опубликовали подробности летней кибератаки APT-группы Tonto Team, которой многие исследователи приписывают китайские корни. Вредоносные письма, разосланные на адреса сотрудников компании, были вовремя обнаружены и заблокированы; аналогичные послания получили несколько десятков российских ИТ- и ИБ-вендоров.

По данным GIB, хакерская группировка Tonto Team специализируется на кибершпионаже и краже интеллектуальной собственности как минимум с 2009 года. Изначально ее интересовали только мишени в Южной Корее, Японии, США и на Тайване, но к 2020 году целевые атаки распространились на страны Восточной Европы.

Летние вторжения начинались с адресного письма с вредоносным вложением — документом Microsoft Office с RTF-эксплойтом, созданным с помощью компоновщика Royal Road. Для проведения рассылок злоумышленники зарегистрировали почтовый ящик на бесплатном сервисе GMX Mail (Global Message eXchange).

Сообщения распространялись от имени реального сотрудника целевой компании. Из используемых эксплойтов были выявлены не утратившие актуальность CVE-2017-11882, CVE-2018-0802 и CVE-2018-0798 для Equation Editor (Microsoft от него отказалась в 2018 году).

 

После отработки эксплойта в систему загружается кастомный бэкдор Bisonal, который Tonto Team использует с 2019 года. Вредонос обеспечивает хакерам удаленный доступ и позволяет выполнять различные команды на зараженной машине. Для их получения он обращается к японскому серверу, который и ранее использовался в атаках APT-группы.

Основные функциональные возможности Bisonal:

  • сбор информации о скомпрометированном хосте (языковая кодировка системы, адрес прокси-сервера, время с момента загрузки системы, имя хоста, имя учетной записи, из-под которой запущен файл, локальный IP-адрес);
  • получение списка процессов;
  • завершение указанного процесса;
  • получение удаленного доступа к cmd.exe;
  • загрузка файла с командного сервера и его запуск;
  • создание файла на диске с использованием локальной языковой кодировки.

В ходе летних атак китайские хакеры также использовали другую полезную нагрузку — ранее недокументированный бэкдор QuickMute.

Все IoC, подтверждающие атрибуцию, приведены в блог-записи Group-IB, посвященной разбору APT-атак. Как выяснилось, это уже вторая атака Tonto Team против Group-IB; первая была проведена летом 2021 года и тоже оказалась провальной.

Задержан серийный взломщик аккаунтов пользователей маркетплейсов

Сотрудники отдела по борьбе с противоправным использованием информационно-телекоммуникационных технологий УМВД России по Пензенской области выявили и задержали подозреваемого во взломе учётных записей пользователей маркетплейсов. По версии следствия, он оформлял от их имени покупки дорогостоящих товаров в рассрочку.

Об успешной операции пензенских киберполицейских пишут местные СМИ со ссылкой на пресс-службу регионального УМВД. Дело было возбуждено после трёх обращений жителей Пензенской области о несанкционированных списаниях с их платёжных карт крупных сумм. Ущерб по этим эпизодам составил 150 тыс. рублей.

По факту произошедшего было возбуждено уголовное дело по ч. 3 статьи 158 УК РФ (кража). В ходе оперативных мероприятий следствие вышло на 20-летнего жителя Рязанской области. По данным полиции, он покупал в теневом сегменте интернета сим-карты с номерами, которые ранее использовались для регистрации на маркетплейсах, а затем были вновь переданы операторам. Эти сим-карты злоумышленник применял для захвата учётных записей пользователей, не отвязавших от аккаунтов старые номера.

От имени владельцев таких аккаунтов он приобретал дорогостоящие товары в рассрочку, а затем перепродавал их. После достижения лимитов на рассрочку злоумышленник, по версии следствия, продавал и сами учётные записи. Кроме того, как выяснилось, фигурант активно регистрировал подставные аккаунты в различных мессенджерах и также торговал ими.

В ходе следственных мероприятий подозреваемого задержали. У него изъяли семь телефонов, около 100 сим-карт, большое количество банковских карт и компьютерную технику.

Как сообщили в УМВД по Пензенской области, фигуранту также предъявлены дополнительные обвинения по ч. 2 статьи 272 УК РФ (неправомерный доступ к компьютерной информации) и статье 274.4 УК РФ (организация деятельности по передаче абонентских номеров с нарушением законодательства РФ). Ему избрана мера пресечения в виде заключения под стражу.

RSS: Новости на портале Anti-Malware.ru