Xello Deception теперь будет использоваться в МТС RED SOC

Екатерина Быстрова 26 Июня 2024 - 21:09

Услуги коммерческих Security Operations Center (SOC)

Distributed Deception Platform

...

Xello Deception теперь будет использоваться в МТС RED SOC

МТС RED заключила соглашение с компанией Xello. Благодаря этому технологическому партнерству центр мониторинга и реагирования на кибератаки МТС RED SOC поможет заказчикам снизить вероятность ущерба даже в случае, если киберпреступники проникнут в инфраструктуру компании.

МТС RED выступит в качестве MSSP-провайдера (Managed Security Service Provider) платформы Xello Deception, которая выявляет активность злоумышленников, предоставляя им недостоверную информацию об ИТ-инфраструктуре. Решение создаёт ложный слой из различных данных и информационных активов по сети компании, которые с большой долей вероятности будут задействованы в ходе кибератак.

Таким образом, если злоумышленник смог обойти средства защиты периметра компании, технологии Xello Deception помогают направить его по ложному следу в поиске ключевых элементов инфраструктуры или конфиденциальных данных компании-жертвы. Это позволяет выявить присутствие хакеров в ИТ-инфраструктуре заказчика до того, как они достигнут цели и нанесут компании ущерб, а также своевременно заблокировать развитие атаки.

Сервис предоставляется по облачной модели с размещением ключевых компонентов системы на площадке заказчика. В рамках оказания сервиса платформа Xello Deception передает данные о действиях злоумышленников в ложной инфраструктуре в центр мониторинга и реагирования на киберинциденты МТС RED SOC. Эти данные обрабатываются профессиональными аналитиками, которые уведомляют заказчика об инциденте и выдают рекомендации по реагированию на кибератаку.

«Системы киберобмана являются высокодоверенным источником компрометации для SOC-центров и не создают большого потока ложных срабатываний. В то же время при уведомлении от системы необходимы навыки для анализа инцидента и оперативного реагирования. Специалисты МТС RED обладают необходимым опытом и компетенциями для оказания сервиса по всем направлениям», — комментирует генеральный директор Xello Александр Щетинин.

«В условиях, когда злоумышленники совершенствуют техники и методы для обхода классических средств защиты и долго остаются незамеченными в инфраструктуре жертвы, дополнительный уровень защиты в виде систем киберобмана становится важной составляющей при обеспечении кибербезопасности критических активов бизнеса», — считает технический руководитель направления МТС RED SOC компании МТС RED Ильназ Гатауллин.

Следующая главная новость »

Динамическая ИТ-инфраструктура 2026: как не потерять контроль? Регистрируйтесь на эфир!

Татьяна Никитина 26 Февраля 2026 - 16:40

Windows Трояны Целевые атаки Таргетированные атаки Корпорации Лаборатория Касперского

Вредоносные рассылки Librarian Likho в России стали массовыми

Эксперты «Лаборатории Касперского» предупреждают корпоративных пользователей о новой вредоносной кампании с использованием имейл. Поддельные сообщения имитируют деловую переписку и снабжены вложением с именем под стать.

С начала ноября 2025 года злоумышленники отправили более 1 тыс. однотипных писем-ловушек, что может говорить об автоматизации рассылок. Разбор текущих атак выявил почерк Librarian Likho, криминальной группировки, действующей в России и странах СНГ уже несколько лет.

Исследователи также обнаружили, что набор вредоносных инструментов, заточенных под Windows, с лета мало изменился. Из новшеств замечены изменение схемы поиска C2 (ранее URL был вшит в код, а теперь динамически меняется), более умелый обход штатных средств защиты и исчезновение механизма поиска / кражи документов с целью шпионажа.

Распространяемые злоумышленниками фейковые письма, как и ранее, оформлены как предложение о сотрудничестве, запрос на предоставление информации либо отчет о платежах. Расширения прикрепленных файлов (.com) отправители на сей раз даже не пытаются замаскировать в расчете на неискушенность или невнимательность получателей.

Во вложении скрывается инсталлятор, который после запуска выгружает в папку временных файлов два архива формата .cab — 2.tmp и temp_0.tmp. После их распаковки (в одну и ту же директорию) жертве отображается документ-приманка и происходит запуск уже знакомого экспертам скрипта-загрузчика find.cmd.

Как оказалось, этот старый знакомый все же изменился — обрел возможность парсинга C2. В ходе выполнения вредоносный сценарий создает виртуальное окружение и переменные под адреса, которые он получает из файла url.txt и по очереди пускает в ход.

Отдаваемый C2 набор инструментов по-прежнему скачивается в виде запароленных архивов, выдаваемых за картинки (pas.jpg и bk.jpg). Для распаковки в систему с того же сервера загружается кастомная версия WinRAR — driver.exe.

Содержимое архивных файлов оседает в папке AppData\Roaming:

blat.exe помогает выводить данные через SMTP;
AnyDesk.exe обеспечивает удаленное управление хостом;
Trays.exe скрывает окна запущенных процессов;
dc.exe отключает Microsoft Defender;
wbpv.exe используется для получения паролей, сохраненных в браузерах;
mlpv.exe извлекает пароли их почтовых клиентов;
bat.bat используется для эксфильтрации паролей и обхода средств защиты данных.

Атаки, против обыкновения, проводятся не точечно, а ковровым способом; вредоносное послание может получить компания любого профиля. Эксперты зафиксировали инциденты в госсекторе, строительстве и промышленности.

Динамическая ИТ-инфраструктура 2026: как не потерять контроль? Регистрируйтесь на эфир!