Шпионы Shedding Zmiy проникли в десятки российских организаций

Шпионы Shedding Zmiy проникли в десятки российских организаций

Шпионы Shedding Zmiy проникли в десятки российских организаций

По данным ГК «Солар», нацеленная на шпионаж APT-группа с условным именем Shedding Zmiy объявилась в России в 2022 году. На ее счету уже несколько десятков атак на госструктуры, промпредприятия, телеком-сети и другие объекты критической важности.

Обнаружив в ходе анализа бэкдор CobInt, эксперты предположили, что автор целевых атак — группировка Cobalt (это ее «фирменный» инструмент). Однако расследование показало, что это не так: взломщики не искали финансовой выгоды, они воровали данные с тем, чтобы использовать их в дальнейших атаках или слить в Telegram.

Обширный набор инструментов и техник позволяет Shedding Zmiy каждый раз менять тактику. Кибершпионы также подняли множество C2-серверов на территории России, воспользовавшись услугами облачных и хостинг-провайдеров, что помогает им обходить блокировки по GeoIP.

В атаках применяются и выложенные в паблик зловреды, и спецразработки под конкретные цели (загрузчики, бэкдоры, веб-шеллы). Для хранения вредоносного кода иногда используются взломанные серверы.

В арсенале Shedding Zmiy исследователи суммарно насчитали 35 инструментов разного назначения и 20 используемых уязвимостей — в основном хорошо известных, таких как Log4Shell, ProxyShell и PrintNightmare .

Один эксплойт оказался редким и замысловатым. Соответствующую уязвимость в ASP.NET (десериализация ненадежных данных в параметре VIEWSTATE) разработчики Microsoft пытались устранить еще десять лет назад, но затем оставили эту затею — в «Солар» полагают, из-за сложности использования лазейки.

«В процессе расследований мы нашли как знакомые по деятельности группы Cobalt вредоносные инструменты, так и не встречавшиеся ранее уникальные образцы ВПО, в частности, бэкдор Bulldog и загрузчик XDHijack, — отметил эксперт из команды Solar 4RAYS Антон Каргин. — Кроме того, группировка разработала целый фреймворк для эксплуатации уязвимости десериализации VIEWSTATE. Всё это говорит о высоком профессионализме злоумышленников и немалых ресурсах».

Участники Shedding Zmiy также активно используют элементы социальной инженерии. Так, в ходе одной из атак они создали в Telegram поддельный аккаунт ИБ-специалиста целевой компании и от его имени выманили у сотрудника учетные данные для доступа к внутренних хостам.

В другом случае злоумышленники сыграли на доверии между компаниями-партнерами (атака типа Trusted Relationship): взломав сеть телеком-провайдера, разослали от его имени десятки вредоносных писем в другие организации.

Мобильный интернет заметно урезали: только треть сессий без ограничений

В июле только 30,5% пользовательских сессий в мобильных сетях Центральной России проходило без ограничений. В остальных случаях абонентам оставили цифровой паёк — доступ лишь к ресурсам из белого списка Минцифры, следует из исследования Vigo.

Компания проанализировала около 1 млрд сессий. С января доля подключений в режиме белого списка в Центральной России выросла в среднем на 31%.

Сильнее всего ограничения ощущаются в приграничных регионах. В Брянской, Курской и Белгородской областях к концу июля без них проходило лишь 12% сессий. То есть почти девять из десяти подключений работали в урезанном режиме.

В Москве и Подмосковье свободными оставались около 49% сессий, в Санкт-Петербурге — 43,9%, а в Ленинградской области — 58,9%. Наиболее вольготно в июне чувствовали себя пользователи Еврейской автономной области, Тывы и Магаданской области: там без белых списков проходило от 69 до 75,7% подключений.

 

Источник: «КоммерсантЪ»

 

В разрешённый перечень входят «Госуслуги», сайты госорганов, сервисы Яндекса, VK, маркетплейсы и ресурсы операторов связи. В Vigo считают, что процедура добавления новых площадок должна стать прозрачнее, а уже включённые сервисы обязаны работать без перебоев.

Для операторов ситуация тоже пахнет не розами. По словам экспертов, компании начали перестраивать тарифы и активнее развивать фиксированный интернет. Абоненты тем временем получают эффект неиспользованного пакета: деньги заплачены, гигабайты есть, а потратить их толком нельзя.

Пока доходы операторов спасают пакетные тарифы с голосовой связью, которая снова стала востребованной. Но в долгосрочной перспективе ограничения сужают возможности для конкуренции. А пользователь, глядя на бесполезный запас трафика, вполне может решить: раз интернета всё равно нет, почему бы хотя бы не поискать оператора подешевле.

RSS: Новости на портале Anti-Malware.ru