Новый бэкдор CAPI нацелен на автопром и онлайн-ретейл в России

Новый бэкдор CAPI нацелен на автопром и онлайн-ретейл в России

Новый бэкдор CAPI нацелен на автопром и онлайн-ретейл в России

Эксперты из Seqrite Labs рассказали о новой киберкампании, нацеленной, предположительно, на российские компании из автомобильной отрасли и онлайн-ретейла. Киберпреступники используют ранее неизвестный вредонос под названием CAPI, написанный на .NET.

Заражение начинается с фишингового письма, к которому прикреплён ZIP-архив. Внутри — русскоязычный документ-приманка с темой о перерасчёте зарплаты, а также ярлык Windows (LNK-файл) под тем же именем — «Перерасчет заработной платы 01.10.2025».

Запуск ярлыка активирует файл adobe.dll — тот самый бэкдор CAPI — с помощью системной утилиты rundll32.exe, что позволяет обойти защитные программы. Этот приём известен как Living-off-the-Land (LotL) — использование легитимных инструментов Windows в злонамеренных целях.

Что умеет CAPI Backdoor

После запуска вредонос проверяет, запущен ли он с правами администратора, собирает список установленных антивирусов и открывает поддельный документ, чтобы отвлечь внимание пользователя. Параллельно он устанавливает соединение с удалённым сервером 91.223.75[.]96, откуда получает команды.

CAPI Backdoor способен:

  • красть данные из браузеров Chrome, Edge и Firefox;
  • делать скриншоты экрана;
  • собирать системную информацию и список файлов;
  • отправлять всё это злоумышленникам.

Чтобы закрепиться в системе, троян создаёт задачу в Планировщике и ярлык в директории автозагрузки Windows, обеспечивая автоматический запуск при перезагрузке.

Seqrite полагает, что кампания направлена на российские автокомпании, так как один из связанных доменов — carprlce[.]ru — имитирует популярный сайт carprice[.]ru.

«Вредоносная DLL выполняет функции стилера и закрепляется в системе для дальнейших атак», — отметили исследователи Прия Патель и Субхаджит Сингха.

Пока неизвестно, кто стоит за этой атакой, но кампания выглядит как таргетированная и хорошо подготовленная — с использованием реалистичных документов, точечных доменов и продуманной техникой маскировки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

UserGate стал корпоративным центром ГосСОПКА

Российский разработчик решений в области кибербезопасности UserGate официально стал корпоративным центром ГосСОПКА. Компания подписала соглашение о взаимодействии с Национальным координационным центром по компьютерным инцидентам (НКЦКИ) — структурой ФСБ России, которая координирует работу по защите критической информационной инфраструктуры (КИИ) России.

Новый корпоративный центр создан на базе подразделения uFactor, которое теперь будет оказывать компаниям комплекс услуг по выполнению требований Федерального закона № 187-ФЗ «О безопасности критической информационной инфраструктуры РФ».

В задачи центра войдут:

  • реагирование на компьютерные инциденты и устранение последствий атак;
  • информирование госорганов о киберинцидентах;
  • постоянное взаимодействие с НКЦКИ.

Благодаря подключению к системе ГосСОПКА UserGate получит прямой доступ к информации о киберугрозах и инцидентах в реальном времени, что позволит быстрее реагировать на атаки. Кроме того, компания сможет предоставлять услуги по мониторингу и реагированию другим организациям, включая субъекты КИИ.

«Работа uFactor в статусе корпоративного центра ГосСОПКА позволит нам расширить аудиторию клиентов и предложить услуги компаниям из критически важных отраслей, — отметил Эльман Бейбутов, директор по развитию бизнеса UserGate. — Наши продукты сертифицированы ФСТЭК, а услуги соответствуют требованиям ФСБ по линии НКЦКИ. Всё это делает UserGate надежным партнером для компаний, которым важно обеспечить киберустойчивость и технологический суверенитет».

Создание корпоративного центра ГосСОПКА усиливает роль UserGate в национальной системе киберзащиты. Теперь компания не только разрабатывает решения класса NGFW и UTM, но и официально участвует в мониторинге и отражении кибератак на уровне федеральной инфраструктуры.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru