Действующие в России шпионы Sticky Werewolf перешли на стеганографию

Действующие в России шпионы Sticky Werewolf перешли на стеганографию

Действующие в России шпионы Sticky Werewolf перешли на стеганографию

Эксперты Positive Technologies обнаружили, что шпионящая в России APT-группа Sticky Werewolf (в PT ее именуют PhaseShifters) начала применять стеганографию для сокрытия загрузки троянов. Нововведение уже засветилось в десятках успешных атак.

Поддельные письма с новым сценарием доставки полезной нагрузки рассылаются в российские госструктуры, НИИ, промышленные компании. Получателя могут попросить ознакомиться с резюме или документом на подпись.

Вложенный архив под паролем содержит файл, при открытии которого отрабатывает скрипт-загрузчик. В результате на машину жертвы из интернета скачивается вредоносный код, спрятанный в картинке или текстовом файле по методу стеганографии.

Целевым зловредом может оказаться инфостилер Rhadamanthys, DarkTrack RAT, Meta Stealer или иной зловред, пригодный для шпионажа. Примечательно, что для их сокрытия Sticky Werewolf использует практически ту же технику, что и TA558, а также UAC-0050, действующая в России, Белоруссии, Молдавии, странах Прибалтики, на Украине и в Польше.

«Мы наблюдаем высокую активность PhaseShifters с весны 2023 года и уже тогда заметили интересные детали, — рассказывает Денис Кувшинов, руководитель TI-департамента PT ESC. — Атаки группировки по техникам идентичны цепочкам атак другой группировки, UAC-0050. Более того, атаки этих группировок проходят с небольшим временным промежутком, то есть злоумышленники одинаково атакуют с разницей в несколько недель. На данный момент мы склоняемся к тому, что UAC-0050 и PhaseShifters — это одна и та же группировка».

Claude AI помог запустить Bartlett Lake на обычной Z790-плате

У Intel Bartlett Lake появился ещё один неожиданный шанс на жизнь вне встраиваемых систем. Энтузиаст с ником kryptonfly сумел загрузить Windows на процессоре Bartlett Lake с 12 P-ядрами на материнской плате Asus Z790-AYW OC Wi-Fi, несмотря на то что официальной поддержки таких чипов у массовых плат на чипсетах 600-й и 700-й серий нет.

Об этом сообщили Tom’s Hardware и другие профильные издания со ссылкой на обсуждение на Overclock.net. Самое интересное в этой истории даже не сам запуск, а то, как он был достигнут.

Модер правил BIOS, много экспериментировал и использовал Claude AI как помощника в процессе модификации прошивки. Сначала ему удалось добиться только POST, а затем пришлось отдельно бороться с проблемой инициализации памяти, которая не давала системе пройти дальше стартового этапа и загрузить Windows.

Чтобы обойти это ограничение, kryptonfly фактически заставил плату думать, что отдельные компоненты Bartlett Lake относятся к поддерживаемым Raptor Lake 13-го и 14-го поколений. Именно это и помогло протолкнуть систему дальше стартового экрана и довести дело до полноценной загрузки Windows.

До идеала, впрочем, ещё далеко. У сборки остаются проблемы: например, процессор по-прежнему не даёт нормально заходить в BIOS, поэтому для изменения настроек приходится менять CPU. Но даже в таком виде результат считают серьёзным шагом вперёд: раньше речь шла только о POST, а теперь — уже о рабочей загрузке системы. Сам модер уже смотрит в сторону адаптации решения для других LGA 1700-плат, включая версии Asus Apex и Encore.

Интерес к Bartlett Lake понятен. Это довольно странная и потому любопытная линейка Intel: топовые чипы вроде Core 9 273QPE / 273PQE предлагают до 12 производительных ядер без E-ядер, с частотами до 5,9 ГГц. Формально эти процессоры рассчитаны не на обычные домашние десктопы.

RSS: Новости на портале Anti-Malware.ru