Шпионы XDSpy используют 0-day в Windows LNK для атак на госструктуры

Шпионы XDSpy используют 0-day в Windows LNK для атак на госструктуры

Шпионы XDSpy используют 0-day в Windows LNK для атак на госструктуры

Расследование, запущенное в HarfangLab по результатам анализа эксплойта нулевого дня, обнаруженного в LNK-файлах, показало, что он используется в рамках новой шпионской кампании XDSpy на территории Белоруссии и России.

Промышляющая шпионажем кибергруппа XDSpy интересуется секретами стран Восточной Европы с 2011 года. В минувшем марте злоумышленники возобновили атаки на госструктуры и частные компании.

Эксплойт к уязвимости в Windows, которую Microsoft отказалась патчить из-за ничтожного, по ее мнению, риска, применяется для доставки загрузчика, которого в HarfangLab нарекли ETDownloader.

Конечной целью подобных атак, по всей видимости, является развертывание стилера XDigo. В ходе исследования французские эксперты обнаружили ряд новых образцов написанного на Go трояна.

Девять подвергнутых анализу эксплойт-файлов LNK с именами «доказательство», «проект» и т. п., распространяются через так же названные, но на латинице, архивы, содержащие помимо LNK еще один ZIP.

При распаковке последнего высвобождаются переименованный легитимный экзешник с подписью Microsoft, маскировочный PDF и вредоносная DLL (ETDownloader) , загружаемая по методу sideloading.

 

Целевой стилер XDigo умеет воровать данные из браузеров (почти 30 имен) и клиентов имейл (Mozilla Thunderbird, Microsoft Outlook), отыскивать нужные файлы, извлекать содержимое из буфера обмена, делать скриншоты, а также выполнять команды на запуск бинарников, загруженных со стороннего сервера.

Выявленные мишени текущих атак XDSpy — минская компания с господдержкой, российские ретейлеры, финансисты, страховщики, почтовые госсервисы. Шпионы даже заточили самозащиту своих инструментов под цели в этих регионах: зловреды неизменно пытаются обойти PT Sandbox, сетевую песочницу в исполнении Positive Technologies.

Мобильный интернет заметно урезали: только треть сессий без ограничений

В июле только 30,5% пользовательских сессий в мобильных сетях Центральной России проходило без ограничений. В остальных случаях абонентам оставили цифровой паёк — доступ лишь к ресурсам из белого списка Минцифры, следует из исследования Vigo.

Компания проанализировала около 1 млрд сессий. С января доля подключений в режиме белого списка в Центральной России выросла в среднем на 31%.

Сильнее всего ограничения ощущаются в приграничных регионах. В Брянской, Курской и Белгородской областях к концу июля без них проходило лишь 12% сессий. То есть почти девять из десяти подключений работали в урезанном режиме.

В Москве и Подмосковье свободными оставались около 49% сессий, в Санкт-Петербурге — 43,9%, а в Ленинградской области — 58,9%. Наиболее вольготно в июне чувствовали себя пользователи Еврейской автономной области, Тывы и Магаданской области: там без белых списков проходило от 69 до 75,7% подключений.

 

Источник: «КоммерсантЪ»

 

В разрешённый перечень входят «Госуслуги», сайты госорганов, сервисы Яндекса, VK, маркетплейсы и ресурсы операторов связи. В Vigo считают, что процедура добавления новых площадок должна стать прозрачнее, а уже включённые сервисы обязаны работать без перебоев.

Для операторов ситуация тоже пахнет не розами. По словам экспертов, компании начали перестраивать тарифы и активнее развивать фиксированный интернет. Абоненты тем временем получают эффект неиспользованного пакета: деньги заплачены, гигабайты есть, а потратить их толком нельзя.

Пока доходы операторов спасают пакетные тарифы с голосовой связью, которая снова стала востребованной. Но в долгосрочной перспективе ограничения сужают возможности для конкуренции. А пользователь, глядя на бесполезный запас трафика, вполне может решить: раз интернета всё равно нет, почему бы хотя бы не поискать оператора подешевле.

RSS: Новости на портале Anti-Malware.ru