APT-группа Core Werewolf шпионит за российскими КИИ с помощью UltraVNC

Татьяна Никитина 08 Июня 2023 - 13:57

Таргетированные атаки

...

APT-группа Core Werewolf шпионит за российскими КИИ с помощью UltraVNC

ИБ-компания BI.ZONE зафиксировала атаки Core Werewolf на российский оборонно-промышленный комплекс и объекты критической инфраструктуры (КИИ). Для проникновения в организации используются целевые рассылки и UltraVNC.

Данная APT-группа, по словам исследователей, активна как минимум с августа 2021 года. Чтобы дольше оставаться незамеченными, авторы шпионских атак используют легитимный софт.

Анализ показал, что поддельные сообщения, рассылаемые Core Werewolf в российские организации, содержат ссылку на исполняемый файл, замаскированный под документ PDF или DOCX.

При его открытии отображается некое постановление, приказ, методическое пособие, служебная записка либо резюме. Одновременно на устройстве жертвы в фоновом режиме запускается UltraVNC, обеспечивающий авторам атаки удаленный доступ к системе.

«Сегодня группы все чаще отказываются от вредоносного ПО в пользу легитимных или встроенных в операционную систему инструментов, — комментирует Олег Скулкин, руководитель управления киберразведки BI.ZONE. — Пример Core Werewolf в очередной раз доказывает эффективность таких методов в управляемых человеком атаках».

Снизить риски подобных атак, по словам экспертов, помогают меры, реализующие проактивный подход к обнаружению киберугроз (threat hunting). Потенциальным жертвам рекомендуется использовать специализированные решения для защиты имейл и наладить мониторинг событий кибербезопасности, чтобы отслеживать подозрительное поведения легальных программ.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Екатерина Быстрова 17 Июля 2025 - 19:11

САКУРА Корпорации Сетевая безопасность Системы контроля сетевого доступа Системы защиты от утечек конфиденциальной информации (DLP)Системы мониторинга событий безопасности Системы мониторинга эффективности сотрудников Средства управления информационной безопасностью Системы реагирования и управления инцидентами (IRP) ИТ-Экспертиза (IT-Expertise)

Вышла САКУРА 2.36: поддержка ARM и улучшения для VPN и AD

Компания «ИТ-Экспертиза» представила новый релиз системы САКУРА версии 2.36. В нём расширена поддержка платформ, улучшена работа с VPN, добавлены новые отчёты и повышена производительность.

Что нового:

Для всех поддерживаемых ОС теперь доступны дистрибутивы Агента САКУРА как для архитектуры x86, так и для ARM.
В модуле учёта рабочего времени появился отчёт «Работа пользователей по дням» — для анализа активности сотрудников по датам.
Расширены возможности интеграции с VPN-сервисами:

В CheckPoint теперь можно использовать второй фактор от САКУРА и работать без привязки к Active Directory.
В решениях от АМИКОН появилась возможность задавать произвольные коды ответов для настройки доступа.

В Astra Linux реализована цифровая подпись агента — это сделано для работы в замкнутых средах (ЗПС).
Улучшена защита компонентов ПК ИБ и агента от модификаций.
Повышена гибкость синхронизации с Active Directory — добавлены фильтры по группам и пользователям.

Оптимизация и ускорение:

Переработан механизм получения VPN-пользователя из сертификатов — стало надёжнее и быстрее.
Ускорена работа проверок с типами «Сетевой доступ» и «Актуальность обновлений ОС».
Сценарии действия на рабочих местах теперь исполняются быстрее.
При старте Агента снижена нагрузка на систему — доработана логика применения настроек по умолчанию.
Меньше сетевого трафика: оптимизирован способ получения настроек с сервера.
Для macOS уменьшено количество запросов к ОС.
Улучшена работа с пуш-уведомлениями в мобильном приложении.

В релиз также вошли исправления ошибок, обнаруженных в предыдущих версиях.