Группа Bronze Starlight подписывает малварь сертификатом VPN-провайдера

Группа Bronze Starlight подписывает малварь сертификатом VPN-провайдера

Группа Bronze Starlight подписывает малварь сертификатом VPN-провайдера

Китайская киберпреступная группировка, известная под именем Bronze Starlight, атакует игровую индустрию Юго-Восточной Азии подписанной вредоносной программой. Особенность кампании заключается в том, что зловред подписан с помощью валидного сертификата, принадлежащего VPN-провайдеру Ivacy.

Использование действующего сертификата во многом облегчает киберпреступникам задачу, поскольку вредонос может обойти антивирусы и в целом свести к минимуму различные алерты.

По словам специалистов компании SentinelLabs, которые зафиксировали и описали новые атаки, используемый сертификат принадлежит сингапурскому поставщику VPN — PMG PTE LTD. Эта организация стоит за разработкой Ivacy VPN.

 

Есть подозрение, что описанная SentinelLabs кампания стала продолжением кибероперации «ChattyGoblin», о которой ESET предупреждала не так давно. Тем не менее точная идентификация затрудняется привычками китайских кибергруппировок: они часто используют одни и те же инструменты.

Атака начинается со сброса исполняемых файлов .NET в систему жертвы — agentupdate_plugins.exe и AdventureQuest.exe. Судя по всему, для доставки используются мессенджеры.

После этого происходит загрузка защищённого паролем ZIP-архива с сервера Alibaba. Исполняшка AdventureQuest.exe впервые попалась команде MalwareHunterteam в мае, именно тогда эксперты обратили внимание на подпись вредоноса сертификатом Ivacy VPN.

В архиве лежат уязвимые версии софта Adobe Creative Cloud, Microsoft Edge и McAfee VirusScan, с которыми можно провернуть технику загрузки вредоносной DLL (DLL hijacking). В качестве библиотек выступают следующие три файла: libcef.dll, msedge_elf.dll и LockDown.dll. Задача — установить на компьютер жертвы маячки Cobalt Strike.

 

Занятно, что исполняемые файлы содержат ряд ограничений по геолокации: вредоносная программа не запустится на компьютерах из Великобритании, Германии, Франции, России, Индии, Канады и США.

Антивирус от МВД оказался новой приманкой для заражения устройств россиян

Киберполиция предупредила о фейковом антивирусе МВД, который сам оказался вредоносной программой. Киберпреступники теперь предлагают россиянам защититься от мошенников с помощью этой программы. Более того, аналогичная схема фиксируется и под видом продуктов «Лаборатории Касперского».

Об активности злоумышленников предупредил телеграм-канал «Вестник Киберполиции России».

По данным ведомства, злоумышленники распространяют вредоносное приложение под видом официального антивируса от киберполиции. В рекламе такого софта активно используются упоминания МВД России, а пользователям обещают проверку сайтов, выявление мошеннических ресурсов и защиту устройств от угроз.

Сценарий классический: жертве предлагают скачать полезную программу через мессенджеры, сторонние сайты или файлообменники. После установки пользователь вместо защиты получает вредоносное приложение на своё устройство.

В МВД напомнили, что подразделения российской полиции не разрабатывают антивирусы и не распространяют софт через Telegram, сайты с загрузками или другие неофициальные каналы.

Любые предложения установить антивирус от МВД, официальную защиту от киберполиции или похожие продукты следует сразу воспринимать как потенциальную угрозу.

Ведомство рекомендует загружать программы только из официальных магазинов приложений и с сайтов разработчиков. Если подозрительная рассылка всё же попалась на глаза, лучше не экспериментировать с установкой и сообщить о ресурсе администрации платформы.

Отдельно киберполиция обратилась и к авторам подобных схем. В сообщении напомнили, что разработка и распространение вредоносных программ является уголовно наказуемым деянием.

«Практика показывает, что анонимность в сети часто оказывается временной, а встреча с сотрудниками правоохранительных органов — неизбежной», — отметили в ведомстве.

RSS: Новости на портале Anti-Malware.ru