У APT-группы RedEyes появился RAT, ворующий данные с Windows и смартфонов

У APT-группы RedEyes появился RAT, ворующий данные с Windows и смартфонов

У APT-группы RedEyes появился RAT, ворующий данные с Windows и смартфонов

При разборе январских атак APT37 эксперты AhnLab обнаружили, что арсенал северокорейских хакеров пополнился бесфайловым зловредом M2RAT. Чтобы скрыть полезную нагрузку, злоумышленники используют стеганографию, да и сам троян старается оставлять как можно меньше следов в системе.

Кибергруппа APT37, известная также как RedEyes, ScarCruft , Reaper и Ricochet Chollima, занимается шпионажем — как многие считают, при поддержке властей КНДР. В прошлом году, по данным BleepingComputer, злоумышленники активно использовали уязвимость 0-day в Internet Explorer (CVE-2022-41128) для доставки различных вредоносов.

Так, например, в ходе атак на европейские организации APT-группа через эксплойт устанавливала бэкдор Dolphin для мобильных устройств. Российским дипломатам она пыталась навязать кастомного RAT-трояна Konni, американским журналистам — персональные варианты Goldbackdoor (PDF).

Новобранец M2RAT был обнаружен при анализе писем с вредоносным вложением, которые APT37 избирательно разослала в прошлом месяце. При открытии маскировочного документа срабатывает эксплойт CVE-2017-8291 (к RCE-уязвимости GhostButt в текстовом редакторе Hangul, популярном в Корее).

В случае успеха в системе запускается шелл-код, который загружает JPEG-файл и запускает на исполнение вредоносный код, спрятанный в картинке. Чтобы обеспечить себе постоянное присутствие в системе, зловред регистрирует PowerShell-команду, создавая новый ключ реестра Run.

 

По свидетельству AhnLab, вредонос M2RAT работает как троян удаленного доступа. Он умеет собирать информацию о зараженной системе и отправлять ее на свой сервер, регистрировать клавиатурный ввод, воровать данные, выполнять различные команды, делать снимки экрана (автономно и с заданной периодичностью).

Кроме того, зловред, как и бэкдор Dolphin, проводит сканирование на наличие подключенных к компьютеру портативных устройств. При обнаружении смартфона или планшета проводится поиск документов и аудиозаписей, с копированием на ПК. Украденные данные отсылаются на C2 в виде запароленного RAR-архива, и локальная копия стирается из памяти, чтобы замести следы.

Новоявленный троян также интересен тем, что использует общую память для C2-коммуникаций и эксфильтрации данных. Таким образом, обмен M2RAT с C2-сервером сведен к минимуму, что сильно затрудняет анализ.

Сбой у ВТБ, Сбера и Т-Банка: пользователи жалуются на проблемы с платежами

Согласно данным сервисов мониторинга сбоев, проблемы в работе цифровых сервисов ВТБ начались около 13:00 по московскому времени, а у Сбербанка и Т-Банка — примерно с 14:00. Жалобы пользователей в основном однотипные: не проходят платежи и переводы через мобильные приложения и банковские карты. При этом сами приложения и сайты у большинства клиентов открываются без затруднений.

Сбои в работе сервисов банков фиксируют как Сбой.рф, так и Detector404.

Как убедился корреспондент Anti-Malware.ru, проблемы с оплатой по картам ВТБ действительно наблюдаются: в магазинах это приводит к замедлению обслуживания и образованию очередей. При этом оплата через QR-коды, по имеющимся данным, проходит без сбоев.

О сбое также сообщил портал «Код Дурова», указав на проблемы в работе «Т-Банка». При этом, по данным Detector404, характер инцидента отличается: основная часть жалоб связана с мобильным приложением и проведением операций через него, хотя встречаются и сообщения о непрохождении карточных платежей.

Кроме того, сегодня с техническими проблемами столкнулся сервис «Честный знак». Пользователи жалуются на невозможность отправки запросов в систему и сложности с проверкой маркировки товаров.

RSS: Новости на портале Anti-Malware.ru