- 13,579
- 20
- 8 Ноя 2022
«Лаборатория Касперского» раскрыла детали серии целевых атак на предприятия в Восточной Европе.
«Лаборатория Касперского» Для просмотра ссылки Войдиили Зарегистрируйся ряда кибератак на промышленные объекты в Восточной Европе. Целью атакующих были предприятия производственного сектора, а также занимающиеся разработкой и внедрением автоматизированных систем управления (АСУ). Злоумышленники использовали продвинутые тактики, методы и процедуры (TTPs).
Эксперты компании установили, что эта серия целевых атак была ориентирована на создание постоянного канала похищения данных, в том числе из систем, изолированных от внешнего мира. По некоторым признакам эта вредоносная кампания схожа с ранее исследованными атаками ExCone и DexCone, которые предположительно связаны с группой APT31, также известной как Judgment Panda и Zirconium.
Расследование показало, что для получения удалённого доступа к системам жертв, сбора и похищения данных использовалось более 15 различных имплантов. Они позволяли создавать множество постоянно действующих каналов для вывода украденной информации, в том числе из высокозащищённых систем. Атакующие продемонстрировали обширные знания и опыт в обходе мер безопасности.
Атакующие активно использовали техники DLL-подмены, чтобы избегать обнаружения во время работы зловредов. DLL-подмена подразумевает использование легитимных исполняемых файлов сторонних разработчиков, в которых есть уязвимости, позволяющие загрузить в их память вредоносную динамическую библиотеку.
Для эксфильтрации данных и доставки вредоносного ПО злоумышленники использовали облачные сервисы для хранения информации и платформы для обмена файлами. Они развёртывали инфраструктуру управления и контроля (C2) скомпрометированных систем в облачной платформе и на частных виртуальных серверах.
В атаках также использовались новые версии вредоносного ПО FourteenHi. Впервые оно было обнаружено в 2021 году в ходе кампании ExCone, которая была нацелена на госучреждения. Годом позже появились новые варианты этой программы, которые использовались для атак на промышленные организации..
Кроме того, в ходе расследования был обнаружен новый зловред, который получил название MeatBall. Он обеспечивал обширные возможности для удалённого доступа.
Другой отличительной особенностью является копирование данных из изолированных компьютерных сетей через последовательное заражение съёмных носителей. Это не новая тактика, однако в данном случае её реализация, по мнению специалистов, оказалась оригинальной и эффективной. Она включала как минимум четыре различных модуля:
«Лаборатория Касперского» Для просмотра ссылки Войди
Эксперты компании установили, что эта серия целевых атак была ориентирована на создание постоянного канала похищения данных, в том числе из систем, изолированных от внешнего мира. По некоторым признакам эта вредоносная кампания схожа с ранее исследованными атаками ExCone и DexCone, которые предположительно связаны с группой APT31, также известной как Judgment Panda и Zirconium.
Расследование показало, что для получения удалённого доступа к системам жертв, сбора и похищения данных использовалось более 15 различных имплантов. Они позволяли создавать множество постоянно действующих каналов для вывода украденной информации, в том числе из высокозащищённых систем. Атакующие продемонстрировали обширные знания и опыт в обходе мер безопасности.
Атакующие активно использовали техники DLL-подмены, чтобы избегать обнаружения во время работы зловредов. DLL-подмена подразумевает использование легитимных исполняемых файлов сторонних разработчиков, в которых есть уязвимости, позволяющие загрузить в их память вредоносную динамическую библиотеку.
Для эксфильтрации данных и доставки вредоносного ПО злоумышленники использовали облачные сервисы для хранения информации и платформы для обмена файлами. Они развёртывали инфраструктуру управления и контроля (C2) скомпрометированных систем в облачной платформе и на частных виртуальных серверах.
В атаках также использовались новые версии вредоносного ПО FourteenHi. Впервые оно было обнаружено в 2021 году в ходе кампании ExCone, которая была нацелена на госучреждения. Годом позже появились новые варианты этой программы, которые использовались для атак на промышленные организации..
Кроме того, в ходе расследования был обнаружен новый зловред, который получил название MeatBall. Он обеспечивал обширные возможности для удалённого доступа.
Другой отличительной особенностью является копирование данных из изолированных компьютерных сетей через последовательное заражение съёмных носителей. Это не новая тактика, однако в данном случае её реализация, по мнению специалистов, оказалась оригинальной и эффективной. Она включала как минимум четыре различных модуля:
- модуль работы со съёмными носителями и сбор информации о них;
- модуль заражения съёмного носителя;
- модуль сбора и сохранение данных на заражённом носителе;
- модуль заражения и сбор информации с удалённого компьютера.
- Источник новости
- www.securitylab.ru
