Новый Zmiy атакует российские ИТ и телеком через взломанные системы лифтов

Новый Zmiy атакует российские ИТ и телеком через взломанные системы лифтов

Новый Zmiy атакует российские ИТ и телеком через взломанные системы лифтов

Специалисты ГК «Солар» выявили новую кибергруппу, действующую на территории России. Для размещения C2-серверов злоумышленники взламывают диспетчерские SCADA-системы домовых лифтов и потому получили условное имя Lifting Zmiy — «лифтеры».

Управление подключенными к интернету лифтами при этом не страдает; доступ к ПЛК в составе SCADA используется исключительно для проведения атак на госструктуры, ИТ-компании, телеком-провайдеров c целью кражи данных. Иногда такая атака влечет уничтожение части инфраструктуры жертвы.

Для развертывания C2-серверов на ПЛК используется известная с 2022 года уязвимость в контроллерах «Текон-Автоматика», позволяющая создать и запустить в системе LUA-скрипт с правами root. Проблема была вызвана наличием в паблике дефолтных логина и пароля админа.

После публикации PoC вендор закрыл доступ к этим учеткам на своем сайте, однако похоже, что некоторые юзеры до сих пор используют эту комбинацию — или заменили ее легко угадываемым вариантом.

Очередной Zmiy, попавший на радары «Солара» осенью 2023 года (по всей видимости, у экспертов свой метод идентификации APT-групп), предположительно базируется в Восточной Европе. Для проникновения в целевую сеть используется подбор паролей, для закрепления и развития атаки — в основном инструменты с открытым исходным кодом.

В арсенале Lifting Zmiy обнаружены, в частности, такие программы:

Подключение к зараженным системам осуществляется с IP-адресов различных хостинг-провайдеров (VPN и VPS). В одной из атак засветились адреса, используемые сервисом спутниковой связи Starlink.

Исследователи из Solar 4RAYS суммарно обнаружили 23 командных сервера Lifting Zmiy. Сейчас активны 14 (данные на конец июня 2024), восемь из них развернуты на взломанных ПЛК.

Яндекс Банк завис во время акции с 100% кешбэком

Вечерняя акция «Яндекс Банка» с обещанием 100% кешбэка обернулась для клиентов разочарованием. По словам пользователей, платёжные сервисы банка зависли ровно в разгар акции — и именно тогда, когда многие уже стояли на кассах.

Речь идёт об акции «Полный кешбэк» через «Яндекс Пэй», в рамках которой банк обещал вернуть всю сумму любой покупки, совершённой 29 декабря с 20:25 до 20:30. Пользователи заранее пришли в магазины, заняли очереди и ждали заветного времени старта.

Однако, как пишет «Хабр», уже в 20:26 операции по картам «Яндекса» перестали проходить. По словам клиентов, оплата не работала около трёх минут и восстановилась лишь ближе к концу пятиминутного окна акции. В результате часть покупателей просто не смогла воспользоваться предложением.

 

Почти сразу после этого форумы и каналы поддержки «Яндекса» наполнились жалобами. Пользователи писали о неработающих картах, сорванных покупках и упущенном кешбэке.

Позже «Яндекс Банк» прокомментировал ситуацию, объяснив сбой резким ростом нагрузки на системы, и принёс извинения клиентам за доставленные неудобства.

Будет ли банк как-то компенсировать неудачную акцию тем, кто не успел оплатить покупки, пока не сообщается.

RSS: Новости на портале Anti-Malware.ru