У APT-группы RedEyes появился RAT, ворующий данные с Windows и смартфонов

У APT-группы RedEyes появился RAT, ворующий данные с Windows и смартфонов

У APT-группы RedEyes появился RAT, ворующий данные с Windows и смартфонов

При разборе январских атак APT37 эксперты AhnLab обнаружили, что арсенал северокорейских хакеров пополнился бесфайловым зловредом M2RAT. Чтобы скрыть полезную нагрузку, злоумышленники используют стеганографию, да и сам троян старается оставлять как можно меньше следов в системе.

Кибергруппа APT37, известная также как RedEyes, ScarCruft , Reaper и Ricochet Chollima, занимается шпионажем — как многие считают, при поддержке властей КНДР. В прошлом году, по данным BleepingComputer, злоумышленники активно использовали уязвимость 0-day в Internet Explorer (CVE-2022-41128) для доставки различных вредоносов.

Так, например, в ходе атак на европейские организации APT-группа через эксплойт устанавливала бэкдор Dolphin для мобильных устройств. Российским дипломатам она пыталась навязать кастомного RAT-трояна Konni, американским журналистам — персональные варианты Goldbackdoor (PDF).

Новобранец M2RAT был обнаружен при анализе писем с вредоносным вложением, которые APT37 избирательно разослала в прошлом месяце. При открытии маскировочного документа срабатывает эксплойт CVE-2017-8291 (к RCE-уязвимости GhostButt в текстовом редакторе Hangul, популярном в Корее).

В случае успеха в системе запускается шелл-код, который загружает JPEG-файл и запускает на исполнение вредоносный код, спрятанный в картинке. Чтобы обеспечить себе постоянное присутствие в системе, зловред регистрирует PowerShell-команду, создавая новый ключ реестра Run.

 

По свидетельству AhnLab, вредонос M2RAT работает как троян удаленного доступа. Он умеет собирать информацию о зараженной системе и отправлять ее на свой сервер, регистрировать клавиатурный ввод, воровать данные, выполнять различные команды, делать снимки экрана (автономно и с заданной периодичностью).

Кроме того, зловред, как и бэкдор Dolphin, проводит сканирование на наличие подключенных к компьютеру портативных устройств. При обнаружении смартфона или планшета проводится поиск документов и аудиозаписей, с копированием на ПК. Украденные данные отсылаются на C2 в виде запароленного RAR-архива, и локальная копия стирается из памяти, чтобы замести следы.

Новоявленный троян также интересен тем, что использует общую память для C2-коммуникаций и эксфильтрации данных. Таким образом, обмен M2RAT с C2-сервером сведен к минимуму, что сильно затрудняет анализ.

Домашние роутеры россиян передадут под управление «Леший коннект»

«Ростелеком» подал в Минцифры заявку на включение в реестр отечественного ПО системы «Леший коннект». За сказочным названием скрывается вполне серьёзная штука — платформа для удалённого управления домашними роутерами и модемами абонентов.

Система работает по протоколу TR-069 CWMP и нужна для технической поддержки клиентского оборудования.

Маршрутизатор сам связывается с системой, а провайдер получает возможность обновлять прошивку, проводить диагностику, менять настройки и устранять проблемы без похода мастера и без участия пользователя.

В «Ростелекоме» подчёркивают: логин и пароль от роутера для этого не нужны. Устройство само инициирует соединение, а дальше система действует в рамках возможностей протокола.

Звучит удобно, но, конечно, сама идея централизованного управления миллионами домашних устройств выглядит как штука, к которой вопросы по безопасности будут задавать с особым энтузиазмом.

По словам компании, «Леший коннект» должен заменить иностранное решение AxirosGmB. Система будет использоваться внутри «Ростелекома» для управления роутерами и модемами, выданными абонентам. В первую очередь речь идёт о новых устройствах, которые оператор распространял в 2025-2026 годах, включая роутеры шестого поколения производства российской компании «Электра».

 

Планы масштабные: в 2026 году компания рассчитывает переключить до 50% абонентского оборудования, а в 2027-м — управление примерно 7 млн устройств. Таким образом, «Леший» должен стать не локальным инструментом для пары тестовых роутеров, а полноценным хозяином большого сетевого леса.

Пока продукт планируют использовать только внутри «Ростелекома», но в компании не исключают вывод решения на рынок для других операторов. Система поддерживает любые клиентские устройства с протоколом CWMP, а также адаптирована под отечественный технологический стек и совместима как минимум с двумя российскими операционными системами.

Отдельного внимания заслуживает название. В «Ростелекоме» объясняют его через образ леса: миллионы роутеров — это как большая экосистема, а Леший в славянской мифологии следит за порядком. Аналогия понятная: роутеры тоже нужно обновлять, обслуживать и защищать от угроз. Хотя пользователям, вероятно, важнее другое, сами понимаете…

RSS: Новости на портале Anti-Malware.ru