Фишинговая кампания с бэкдорами Merlin и Loki выявлена в России

Фишинговая кампания с бэкдорами Merlin и Loki выявлена в России

Фишинговая кампания с бэкдорами Merlin и Loki выявлена в России

Специалисты Kaspersky выявили нацеленную на российские организации кампанию — Mythic Likho, в рамках которой применяются модифицированная версия бэкдора Merlin и обновлённый вариант вредоносной программы Loki.

Обе программы используют фреймворк с открытым исходным кодом Mythic. Атакам подверглись более десяти российских организаций из различных отраслей, включая телекоммуникации и промышленность.

Точные цели злоумышленников неизвестны, но исследователи полагают, что атакующих интересуют конфиденциальные данные.

Для доставки вредоносов применяется фишинг. Тексты сообщений варьируются: например, одно из писем было направлено в кадровую службу машиностроительного предприятия.

В нём отправители просили предоставить характеристику на бывшего сотрудника, якобы претендующего на ответственную должность в другой компании. Такие письма, вероятно, содержат ссылки на архивы с поддельными резюме, при открытии которых происходит загрузка бэкдора Merlin.

Merlin — это инструмент для постэксплуатации с открытым исходным кодом, написанный на Go. Он совместим с Windows, Linux и macOS, а также поддерживает работу по протоколам HTTP/1.1, HTTP/2 и HTTP/3.

После активации бэкдор соединяется с сервером управления и передаёт сведения о заражённой системе, включая IP-адрес, версию операционной системы, имя пользователя, имя хоста и архитектуру процессора.

Один из обнаруженных экземпляров Merlin загружал в систему новую версию Loki. Этот бэкдор, как и его предыдущая версия, собирает данные о системе, передавая злоумышленникам идентификатор агента, IP-адрес, версию ОС, название устройства и путь к исполняемому файлу. В новой версии добавлена также передача имени пользователя.

Обе программы разработаны для работы с фреймворком Mythic. Первоначально этот инструмент создавался для тестирования защиты корпоративных систем и проведения киберучений, но может использоваться и в преступных целях.

Mythic позволяет создавать кастомизированные агенты для различных платформ, что даёт атакующим гибкость в выборе методов.

На данный момент не хватает данных, позволяющих связать эти атаки с какой-либо известной группировкой. В связи с этим кампания получила название Mythic Likho.

«Применение фреймворка Mythic и разработка кастомных агентов делает атаки гибкими: несмотря на общий метод распространения через фишинговые письма, их содержание и последовательность заражения могут отличаться. Это повышает вероятность успешного проникновения. Важно уделять повышенное внимание защите информационных систем и использовать надёжные средства кибербезопасности», — отмечает Артём Ушков, исследователь угроз в «Лаборатории Касперского».

Минцифры сообщило о доступности российских платформ за рубежом

Минцифры заявило, что российские туристы и граждане, живущие за рубежом, могут получать госуслуги в полном объёме. Возможные ограничения доступа в ведомстве объяснили действиями властей отдельных стран, интернет-провайдеров или мерами защиты от DDoS-атак.

Как говорится в официальном сообщении ведомства, ключевые российские онлайн-платформы доступны для пользователей, находящихся за границей. Среди них названы государственные порталы, банки, маркетплейсы и агрегаторы.

Также в Минцифры заявили, что ограничения доступа к некоторым ресурсам могут вводиться на период масштабных DDoS-атак. В таком случае пользователям рекомендуют повторить попытку позже.

«Если у вас не получается зайти на российский сайт или в приложение из-за рубежа, рекомендуем сменить тип подключения. Попробуйте переключиться с отельного Wi-Fi на местный мобильный интернет либо воспользуйтесь услугами другого оператора связи, — такие рекомендации дали в Минцифры. — Если вы не используете VPN, но всё равно видите соответствующее предупреждение, пожалуйста, обратитесь в службу поддержки сервиса, на который хотите зайти. На Госуслугах в ближайшее время появится специальная кнопка, позволяющая пожаловаться на просьбу «Выключить VPN», когда он не используется».

Сообщения о том, что российские пользователи за рубежом не могут попасть на отечественные ресурсы, начали появляться в начале прошлой недели. С проблемой столкнулись туристы и россияне, проживающие в Египте, Таиланде и Турции, при подключении через публичные сети Wi-Fi.

RSS: Новости на портале Anti-Malware.ru