Новый Zmiy атакует российские ИТ и телеком через взломанные системы лифтов

Новый Zmiy атакует российские ИТ и телеком через взломанные системы лифтов

Новый Zmiy атакует российские ИТ и телеком через взломанные системы лифтов

Специалисты ГК «Солар» выявили новую кибергруппу, действующую на территории России. Для размещения C2-серверов злоумышленники взламывают диспетчерские SCADA-системы домовых лифтов и потому получили условное имя Lifting Zmiy — «лифтеры».

Управление подключенными к интернету лифтами при этом не страдает; доступ к ПЛК в составе SCADA используется исключительно для проведения атак на госструктуры, ИТ-компании, телеком-провайдеров c целью кражи данных. Иногда такая атака влечет уничтожение части инфраструктуры жертвы.

Для развертывания C2-серверов на ПЛК используется известная с 2022 года уязвимость в контроллерах «Текон-Автоматика», позволяющая создать и запустить в системе LUA-скрипт с правами root. Проблема была вызвана наличием в паблике дефолтных логина и пароля админа.

После публикации PoC вендор закрыл доступ к этим учеткам на своем сайте, однако похоже, что некоторые юзеры до сих пор используют эту комбинацию — или заменили ее легко угадываемым вариантом.

Очередной Zmiy, попавший на радары «Солара» осенью 2023 года (по всей видимости, у экспертов свой метод идентификации APT-групп), предположительно базируется в Восточной Европе. Для проникновения в целевую сеть используется подбор паролей, для закрепления и развития атаки — в основном инструменты с открытым исходным кодом.

В арсенале Lifting Zmiy обнаружены, в частности, такие программы:

Подключение к зараженным системам осуществляется с IP-адресов различных хостинг-провайдеров (VPN и VPS). В одной из атак засветились адреса, используемые сервисом спутниковой связи Starlink.

Исследователи из Solar 4RAYS суммарно обнаружили 23 командных сервера Lifting Zmiy. Сейчас активны 14 (данные на конец июня 2024), восемь из них развернуты на взломанных ПЛК.

Переход объектов КИИ на российское ПО могут отложить до 2031 и 2036 годов

Минцифры предлагает уточнить сроки перевода объектов критической информационной инфраструктуры (КИИ) на российское ПО. В целом дата перехода значимых объектов КИИ (ЗО КИИ) — 1 января 2028 года — остаётся в силе, однако в отдельных случаях её могут сдвинуть на более поздний срок.

Такие меры предусмотрены проектом правительственного постановления, который сейчас готовит Минцифры. О его содержании узнал Интерфакс из источников в ведомстве.

Базовый срок перевода всех ЗО КИИ на российское ПО к 1 января 2028 года сохраняется. Однако он будет применяться только в тех случаях, когда для таких объектов уже существуют отечественные системы.

Для проектов, связанных с конкретными ЗО КИИ и созданных до 1 января 2026 года, а также для случаев, когда контракт на разработку соответствующего российского ПО был заключён до 1 сентября 2027 года, срок перехода предлагается перенести на 1 января 2031 года. Если же проекты ЗО КИИ были начаты в 2026–2027 годах, переход могут отложить до 1 января 2036 года. В целом для новых объектов планируется установить пятилетний срок перехода на российское ПО.

Кроме того, согласно документу, федеральные министерства и ведомства, Банк России, а также госкорпорации «Роскосмос» и «Росатом» должны будут до 1 сентября 2026 года утвердить отраслевые планы перехода на российское ПО. Для этого в госорганах и госкорпорациях необходимо назначить ответственных за организацию такого перехода должностных лиц уровнем не ниже заместителя руководителя.

RSS: Новости на портале Anti-Malware.ru