Троян ShadowPad полгода помогал шпионам изучать азиатскую энергосистему

Троян ShadowPad полгода помогал шпионам изучать азиатскую энергосистему

Троян ShadowPad полгода помогал шпионам изучать азиатскую энергосистему

При разборе целевой атаки в одной из азиатских стран эксперты Symantec/Broadcom обнаружили свидетельства использования RAT-трояна ShadowPad для закрепления доступа к сети и кражи информации о национальной энергосистеме.

Зловред ShadowPad, пришедший на смену PlugX, представляет собой модульный троян, способный динамически загружать дополнительные плагины с удаленного сервера. Его используют в основном китайские APT-группы, занимающиеся шпионажем.

Судя по найденным артефактам, атака на неназванную энергокомпанию стартовала в конце февраля этого года (RAT-троян был запущен на одном из компьютеров жертвы). Спустя почти три месяца вредонос вновь отработал, то есть все это время в системе был открыт бэкдор.

Сохраняя свое присутствие, злоумышленники пустили в ход инструмент Packerloader, позволяющий загружать и выполнять шелл-код, а также изменили разрешения для драйвера dump_diskfs.sys, распространив доступ на всех юзеров. Не исключено, что драйвер потом использовался для получения дампов файловой системы с целью эксфильтрации.

Во второй половине мая взломщики вернулись, чтобы провести сбор информации о подключенных накопителях, украсть учетки из системного реестра Windows и очистить журнал событий. Через несколько дней была запущена переименованная версия ProcDump (alg.exe) для получения учетных данных из памяти LSASS.

В последний день месяца авторы атаки, создав запланированное задание, запустили oleview.exe. По всей видимости, такой маневр облегчил им продвижение по сети (с помощью украденных учеток) и передачу ShadowPad на другие машины.

В конце июля в одну из взломанных систем был установлен кейлогер под именем winlogon.exe. Последнее свидетельство вредоносной активности датируется 3 августа: злоумышленники вновь попытались выгрузить учетные данные из LSASS с помощью переименованного ProcDump (yara32.exe).

По словам Symantec, задействованные в данной атаке инфраструктура и инструменты отчасти совпадают с теми, что использует APT41, она же Winnti. Новую кибергруппу эксперты нарекли Redfly; похоже, ее интересуют только объекты КИИ. Попыток совершить диверсию после вторжения не обнаружено.

Nova Special Edition получила поддержку Astra Linux и Мос ОС

Orion soft выпустила обновлённую редакцию платформы Nova Special Edition — защищённой системы оркестрации контейнеризированных приложений, соответствующей 4-му уровню доверия ФСТЭК России. В новой версии разработчики заметно расширили функциональность и сделали акцент на совместимость с российскими операционными системами.

Теперь Nova Special Edition полноценно поддерживает актуальные сертифицированные версии Astra Linux и Мос ОС.

Причём речь идёт не просто о формальной совместимости: платформу доработали с прицелом на использование в критически важных ИТ-средах — от инфраструктуры госорганов до высоконагруженных корпоративных систем.

В обновлении появилось несколько новых возможностей. В частности, добавлена автоматическая конфигурация резервирования системных ресурсов. Также в инструменте nova-ctl реализован пул SSH-подключений с интерфейсом аренды. Это упрощает администрирование и позволяет быстрее и безопаснее выполнять массовые технические операции в инфраструктуре.

Отдельные изменения коснулись резервного копирования и безопасности. В платформе появилась валидация пользовательских CA-сертификатов, а также скорректирован механизм размещения агентов Velero, что повышает надёжность бэкапов. Кроме того, в новой версии закрыты уязвимости в ряде компонентов, включая nginx ingress controller, nginx, CoreDNS и Grafana.

Обновлённая Nova Special Edition остаётся сертифицированным решением для защищённых сред и при этом получает дополнительные инструменты для повседневной эксплуатации и администрирования. Платформа ориентирована на организации, которым важно сочетание требований регуляторов, стабильности и современных возможностей оркестрации контейнеров.

RSS: Новости на портале Anti-Malware.ru