Июньская провальная атака на Group-IB — дело рук китайской Tonto Team

Июньская провальная атака на Group-IB — дело рук китайской Tonto Team

Июньская провальная атака на Group-IB — дело рук китайской Tonto Team

Аналитики из Group-IB опубликовали подробности летней кибератаки APT-группы Tonto Team, которой многие исследователи приписывают китайские корни. Вредоносные письма, разосланные на адреса сотрудников компании, были вовремя обнаружены и заблокированы; аналогичные послания получили несколько десятков российских ИТ- и ИБ-вендоров.

По данным GIB, хакерская группировка Tonto Team специализируется на кибершпионаже и краже интеллектуальной собственности как минимум с 2009 года. Изначально ее интересовали только мишени в Южной Корее, Японии, США и на Тайване, но к 2020 году целевые атаки распространились на страны Восточной Европы.

Летние вторжения начинались с адресного письма с вредоносным вложением — документом Microsoft Office с RTF-эксплойтом, созданным с помощью компоновщика Royal Road. Для проведения рассылок злоумышленники зарегистрировали почтовый ящик на бесплатном сервисе GMX Mail (Global Message eXchange).

Сообщения распространялись от имени реального сотрудника целевой компании. Из используемых эксплойтов были выявлены не утратившие актуальность CVE-2017-11882, CVE-2018-0802 и CVE-2018-0798 для Equation Editor (Microsoft от него отказалась в 2018 году).

 

После отработки эксплойта в систему загружается кастомный бэкдор Bisonal, который Tonto Team использует с 2019 года. Вредонос обеспечивает хакерам удаленный доступ и позволяет выполнять различные команды на зараженной машине. Для их получения он обращается к японскому серверу, который и ранее использовался в атаках APT-группы.

Основные функциональные возможности Bisonal:

  • сбор информации о скомпрометированном хосте (языковая кодировка системы, адрес прокси-сервера, время с момента загрузки системы, имя хоста, имя учетной записи, из-под которой запущен файл, локальный IP-адрес);
  • получение списка процессов;
  • завершение указанного процесса;
  • получение удаленного доступа к cmd.exe;
  • загрузка файла с командного сервера и его запуск;
  • создание файла на диске с использованием локальной языковой кодировки.

В ходе летних атак китайские хакеры также использовали другую полезную нагрузку — ранее недокументированный бэкдор QuickMute.

Все IoC, подтверждающие атрибуцию, приведены в блог-записи Group-IB, посвященной разбору APT-атак. Как выяснилось, это уже вторая атака Tonto Team против Group-IB; первая была проведена летом 2021 года и тоже оказалась провальной.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Протесты поколения Z вынудили власти Непала разблокировать соцсети

Правительство Непала отменило запрет на использование соцсетей после того, как тысячи молодых людей вышли на улицы Катманду с протестами. Об этом сообщил министр связи и информации страны Притви Субба Гурунг, передаёт Press Trust of India.

Блокировка действовала с 5 сентября: власти заявляли, что популярные платформы нарушили новые правила регистрации и должны были открыть представительства в стране.

Под запрет попали YouTube, X (Twitter), Reddit, LinkedIn, а также WhatsApp, Facebook и Instagram (принадлежащие Meta, которая признана экстремистской и запрещена в России).

Но запрет вызвал бурную реакцию. На улицы вышла в основном молодёжь с плакатами и лозунгами «Запретите коррупцию, а не социальные сети» и «Разблокируйте соцсети». Протесты обернулись трагедией — погибло не менее 19 человек, более 300 получили ранения.

Вечером 8 сентября в стране прошло экстренное заседание правительства. В итоге министры распорядились восстановить работу соцсетей — «в соответствии с требованиями поколения Z», которое и стало главным участником уличных протестов у здания парламента.

А у нас тем временем с 1 сентября запретили блокировку RuStore на гаджетах Apple. Это значит, что теперь владельцы iPhone и iPad смогут свободно устанавливать и обновлять приложения через российский магазин, а также оплачивать покупки внутри этих приложений.

А в июле Роскомнадзор объявил о блокировке сервиса Speedtest от компании Ookla, сославшись на выявленные угрозы, которые якобы могут повлиять на безопасность функционирования сетей связи и устойчивость российского сегмента интернета.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru