Жертвами APT-группы Hellhounds стали как минимум 20 российских организаций

Жертвами APT-группы Hellhounds стали как минимум 20 российских организаций

Жертвами APT-группы Hellhounds стали как минимум 20 российских организаций

Кибергруппа, которую в Positive Technologies условно назвали Hellhounds, проводит целевые атаки только на территории РФ и уже собрала как минимум 20 жертв. Используемый ею RAT-троян Decoy Dog был недавно обновлен и стал еще более скрытным.

Проведенное в ИБ-компании исследование показало, что Hellhounds больше всего интересуют госсектор, ИТ, а также космическая и энергетическая отрасли. Злоумышленники тратят большие усилия на сокрытие своей активности в сетях жертв; примечательно, что один из задействованных в атаках C2-доменов именовался maxpatrol[.]net ( был замаскирован под ресурс PT, разработчика продуктов линейки MaxPatrol).

Конечная цель данной APT-группы пока неясна, хотя эксперты зафиксировали один факт уничтожения ИТ-инфраструктуры, приостановившего деятельность компании-жертвы. Успеху атак Hellhounds в большой мере способствует отсутствие дополнительных средств мониторинга и антивирусов на Linux-серверах мишеней.

 

При разборе одной из недавних атак Hellhounds аналитики обнаружили новый вариант трояна Decoy Dog — модификации Pupy, инструмента удаленного администрирования и постоэксплуатации, совместимого с Windows и Linux.

Вредонос и его загрузчик скрывались в исполняемом файле /usr/bin/dcrond весом 9 Кбайт, защищенном с помощью модификации упаковщика UPX (на момент расследования ее детектировал лишь один антивирус из коллекции VirusTotal). В отличие от обычного UPX эта вариация распаковывает не исполняемый файл, а написанный на ассемблере шеллкод, использующий системные вызовы Linux.

Загрузчик Decoy Dog при работе обычно маскируется под легитимный сервис (cron, irqbalance) или библиотеку lib7.so. После запуска он сначала ищет признаки запуска под отладчиком, а затем считывает идентификаторы зараженного хоста и на их основе создает ключ для расшифровки конфигурации и основной нагрузки (CLEFIA 128-бит).

Подвергнутый анализу образец Decoy Dog имел ряд существенных отличий от Pupy RAT:

  • код клиента переписан под Python 3.8, количество модулей сократилось;
  • добавлены новые функции, связанные с внедрением кода в ВМ Java;
  • добавлена функция телеметрии (отправляет данные на аккаунт @lahat в соцсеть mindly.social через API);
  • добавлены новые транспорты, изменена криптосистема (ECPV и RC4 вместо RSA и AES);
  • реализована возможность загрузки динамического конфигурационного файла (обновления) с сохранением в зашифрованном виде на диске (AES-CTR и brainpoolP384r1);
  • добавлен новый канал связи (локальное соединение с помощью IP-адреса и порта или файлового сокета);
  • встроен DGA-генератор для организации C2-связи (в качестве резервного способа).

 

«Decoy Dog — интересный и сложный троян, а новая модификация сделала его почти невидимкой, — отметил Денис Кувшинов, руководитель отдела исследования ИБ-угроз экспертного центра PT. — Он хорошо скрывает себя в потоке данных, мимикрируя под легитимный трафик, собирает интересные APT-группировке данные и выгружает их в малоизвестную социальную сеть на основе открытого движка Mastodon».

Киберпротект выпустил Кибер Бэкап 18.5. Упор на рост производительности

Вышла новая версия системы резервного копирования и восстановления «Кибер Бэкап» 18.5. Это функциональный релиз, в который разработчик традиционно включил большое количество нововведений. В этой версии «Киберпротект» сосредоточился на повышении производительности, защите виртуальных и контейнерных сред, а также интеграции с системами мониторинга.

Кроме того, появились неизменяемые копии с повышенной защитой от вайперов и шифровальщиков. Как сообщил вендор, ключевым изменением релиза стало многопоточное резервное копирование.

Эта функция должна дать наибольший эффект при работе с файловыми хранилищами и базами данных, прежде всего PostgreSQL и его производными, включая российские решения.

Система может обрабатывать до 24 потоков одновременно, что позволяет как минимум втрое увеличить скорость резервного копирования и восстановления в таких сценариях. Пока многопоточность настраивается через редактирование конфигурационного файла, однако в одной из следующих версий эту возможность планируют вынести в графический интерфейс.

В текущем релизе также добавлена поддержка российской системы виртуализации «Горизонт-ВС», в том числе на уровне гипервизора в безагентском режиме. Таким образом, общее число поддерживаемых платформ виртуализации достигло 20, из них 14 — российские. Кроме того, появилась возможность работы с аппаратными моментальными снимками СХД Yadro Tatlin.Unified для виртуальных машин под управлением zVirt. Улучшена и поддержка некоторых функций Kubernetes — в частности, меток в веб-консоли, что упрощает гранулярное восстановление.

В состав релиза вошли инструменты, упрощающие нативную интеграцию с системами мониторинга Prometheus и Loki. Также разработана базовая контрольная панель для Grafana с возможностью гибкой кастомизации и использования пользовательских метрик. В одной из ближайших версий разработчик обещает добавить полноценную интеграцию с Zabbix и другими решениями для мониторинга ИТ-инфраструктуры.

Кроме того, появилась поддержка защищённого протокола LDAPS для всех служб каталогов, с которыми работает «Кибер Бэкап». Для Linux-агентов теперь доступны отдельные установочные пакеты. Работу по разделению единого инсталлятора разработчик планирует продолжить и в дальнейшем.

«Кибер Бэкап 18.5 — это шаг в сторону корпоративных заказчиков с крупной, сложной и растущей инфраструктурой, которым важны эффективная защита данных и технологическая независимость. Мы кратно увеличили производительность системы за счёт реализации файловой многопоточности и одновременно проработали ключевые сценарии защиты нагруженных виртуальных сред в полностью отечественном стеке. Интеграция с системами мониторинга, расширенный API и безопасная работа со службами каталогов делают «Кибер Бэкап» удобным, предсказуемым и масштабируемым инструментом для ИТ-команд любого размера», — прокомментировал выход релиза Дмитрий Антонов, директор направления систем резервного копирования «Киберпротекта».

RSS: Новости на портале Anti-Malware.ru