Шпионящая в России Core Werewolf осваивает Telegram и новый загрузчик

Шпионящая в России Core Werewolf осваивает Telegram и новый загрузчик

Шпионящая в России Core Werewolf осваивает Telegram и новый загрузчик

При разборе сентябрьских атак Core Werewolf на российскую оборонку и объекты критически важной инфраструктуры (КИИ) обнаружен проприетарный загрузчик. Еще одно нововведение: для доставки зловредов кибершпионы начали использовать мессенджеры.

Созданная Core Werewolf программа-загрузчик написана на Autolt и добавляет еще одно звено в цепочку заражения. Атака, как и прежде, начинается при открытии RAR-файла, указанного ссылкой в поддельном письме или IM-сообщении.

В архиве сокрыт SFX, содержащий вредоносный скрипт, легитимный интерпретатор для его запуска и маскировочный документ PDF. Все это распаковывается в папку %TEMP%, и загрузчик при исполнении внедряет в систему целевого зловреда.

«Уровень детектируемости используемых инструментов постоянно растет, — отметил, комментируя находку, руководитель BI.ZONE Threat Intelligence Олег Скулкин. — В связи с этим преступники вносят изменения в свой арсенал, надеясь, что это позволит им дольше оставаться незамеченными в ИТ-инфраструктуре жертвы».

Вредоносные послания APT-группы в мессенджерах эксперты отслеживают с июня. Чаще всего Core Werewolf с этой целью использует Telegram.

Telegram обновился на iPhone: трафик мессенджера стало сложнее отслеживать

Разработчики Telegram выпустили свежее обновление iOS-версии месседжера. Напрямую в описании релиза про это не сказано, но, по данным сообщества разработчиков, в новых версиях Telegram исправили проблему в ClientHello, из-за которой трафик мессенджера легче распознавался системами DPI.

На Android выход версии 12.6.4 подтверждается публичным каналом Telegram APKs, а в App Store для iOS сейчас доступна ветка 12.6.

Самое важное здесь — доработка MTProto, которая должна сделать соединение менее заметным для анализирующих систем и повысить стабильность обходов.

Этот курс прямо подтверждал и Павел Дуров. 4 апреля он заявил, что Telegram будет и дальше адаптироваться к ограничениям, делая свой трафик более сложным для обнаружения и блокировки. По сути, свежие обновления клиентов выглядят как практическое продолжение именно этой линии.

Параллельно Telegram начал заметно жёстче обозначать отношение к сторонним клиентам. В мессенджере появилась специальная отметка рядом с аккаунтами, которые используют неофициальные приложения.

В предупреждении говорится, что такой собеседник пользуется неофициальным клиентом Telegram, а это может снизить защищённость переписки.

На этом фоне особенно показательно выглядит история с Telega — альтернативным клиентом, который позиционировался как способ пользоваться Telegram без VPN в России. Сейчас приложение по-прежнему доступно в Google Play, где у него более 5 млн установок, но из App Store оно исчезло.

RSS: Новости на портале Anti-Malware.ru