itkvariat

    Раскрыт новый арсенал инструментов хакерской группировки Turla




    Международная антивирусная компания ESET обнаружила новые инструменты группировки Turla. В недавних атаках киберпреступники начали применять скрипты PowerShell, которые усложняют обнаружение вредоносных программ и сохраняют повышенную персистентность.

    Недавно ESET зафиксировала несколько кибератак на дипломатические учреждения в Восточной Европе. Во всех случаях использовались скрипты PowerShell, которые позволяют загружать и запускать вредоносные программы прямо в памяти.

    Этот способ более эффективен для сокрытия вредоносной активности по сравнению с традиционным сохранением исполняемого файла на диск. Эксперты ESET отмечают, что PowerShell-скрипты являются неотъемлемыми компонентами, позволяющими загрузить RPC- и PowerShell-бэкдоры.

    Ранее киберпреступники уже пытались использовать загрузчики PowerShell, однако вредоносную кампанию не удалось реализовать из-за многочисленных багов. Сейчас Turla улучшила скрипты и теперь использует их для загрузки широкого спектра разнообразных вредоносных программ.

    «Мы обнаружили и изучили не только новый загрузчик PowerShell, но и несколько вариантов полезной нагрузки», — рассказывает антивирусный эксперт ESET Матье Фау.

    Несмотря на использование скриптов PowerShell, антивирусные продукты по-прежнему могут детектировать вредоносную полезную нагрузку. Эксперты выделяют два вида бэкдоров, один из которых получает контроль над устройствами локальной сети без привязки к внешнему C&C-серверу (бэкдор на базе RPC-протокола).

    Другой, PowerStallion, использует хранилище Microsoft OneDrive в качестве C&C-сервера. «Мы считаем, что этот бэкдор помогает восстанавливать доступ в случаях, когда основные вредоносные программы заблокированы и не имеют доступ к скомпрометированным компьютерам», — полагает эксперт ESET Матье Фау.

    Любопытно, что в новых атаках группировка использует бесплатный сервис электронной почты GMX.

    ESET уверена, что использование средства с открытым исходным кодом (язык PowerShell) не означает, что группировка откажется от своих традиционных инструментов. Более того, киберпреступники скорее продолжат их совершенствование.

    Решения ESET успешно детектируют угрозы как PowerShell/Turla.T, Win64/Turla.BQ, Win64/Turla.BQ, Win32/Turla.BZ, Win64/Turla.BS, Win64/Turla.BR 

    Группировка Turla получила известность в 2008 году, после взлома сети Центрального командования Вооруженных сил США. Цель киберпреступников — кража конфиденциальных данных, представляющих стратегическую важность. Жертвами в разные годы становились Министерство иностранных дел Финляндии (2013), правительство Германии (2017).

    Подробнее — в блоге ESET



    Подписывайтесь и читайте новости от ITквариат раньше остальных в нашем Telegram-канале !

    Поделитесь этой новостью с друзьями!

    Заметили ошибку? Выделите ее мышкой и нажмите Ctrl+Enter!  

    И еще на эту тему...
  • ESET изучила новую атаку группировки BlackTech
  • Бэкдор группировки Turla позволяет редактировать письма на серверах Microsoft Exchange
  • Эксперты выявили первую реальную атаку с использованием руткита LoJax для UEFI
  • ESET раскрыла детали кибершпионской операции, нацеленной на правительственные учреждения Украины
  • 25% обнаружений Win32 / Glupteba приходится на Россию, Украину и Турцию
  • Кибершпионская группа Turla начала использовать для заражения устройств платформу Metasploit
  • Что случилось в первый день PHDays 8 или "Цифра" наизнанку


  • А что вы думаете? Напишите в комментариях!
    Кликните на изображение чтобы обновить код, если он неразборчив



    В комментариях запрещено использовать ненормативную лексику, оскорблять других пользователей сайта, запрещены активные ссылки на сторонние сайты и реклама в комментариях. Уважаемые читатели! Просим вас, оставляя комментарии, уважать друг друга и не злоупотреблять свободой слова. Пользователи, которые нарушают эти правила грубо или систематически, будут заблокированы.

    Полная версия правил
журнал Генеральный директор


Что бывало...

Проверьте скорость вашего интернета!


Самое популярное
    
Наши друзья
Vivaldi

Студия 3D-печати PRO3D

Майки с картинками

Самоклейкин

Смарт

Hoster


Раскрыт новый арсенал инструментов хакерской группировки Turla




Международная антивирусная компания ESET обнаружила новые инструменты группировки Turla. В недавних атаках киберпреступники начали применять скрипты PowerShell, которые усложняют обнаружение вредоносных программ и сохраняют повышенную персистентность.

Недавно ESET зафиксировала несколько кибератак на дипломатические учреждения в Восточной Европе. Во всех случаях использовались скрипты PowerShell, которые позволяют загружать и запускать вредоносные программы прямо в памяти.

Этот способ более эффективен для сокрытия вредоносной активности по сравнению с традиционным сохранением исполняемого файла на диск. Эксперты ESET отмечают, что PowerShell-скрипты являются неотъемлемыми компонентами, позволяющими загрузить RPC- и PowerShell-бэкдоры.

Ранее киберпреступники уже пытались использовать загрузчики PowerShell, однако вредоносную кампанию не удалось реализовать из-за многочисленных багов. Сейчас Turla улучшила скрипты и теперь использует их для загрузки широкого спектра разнообразных вредоносных программ.

«Мы обнаружили и изучили не только новый загрузчик PowerShell, но и несколько вариантов полезной нагрузки», — рассказывает антивирусный эксперт ESET Матье Фау.

Несмотря на использование скриптов PowerShell, антивирусные продукты по-прежнему могут детектировать вредоносную полезную нагрузку. Эксперты выделяют два вида бэкдоров, один из которых получает контроль над устройствами локальной сети без привязки к внешнему C&C-серверу (бэкдор на базе RPC-протокола).

Другой, PowerStallion, использует хранилище Microsoft OneDrive в качестве C&C-сервера. «Мы считаем, что этот бэкдор помогает восстанавливать доступ в случаях, когда основные вредоносные программы заблокированы и не имеют доступ к скомпрометированным компьютерам», — полагает эксперт ESET Матье Фау.

Любопытно, что в новых атаках группировка использует бесплатный сервис электронной почты GMX.

ESET уверена, что использование средства с открытым исходным кодом (язык PowerShell) не означает, что группировка откажется от своих традиционных инструментов. Более того, киберпреступники скорее продолжат их совершенствование.

Решения ESET успешно детектируют угрозы как PowerShell/Turla.T, Win64/Turla.BQ, Win64/Turla.BQ, Win32/Turla.BZ, Win64/Turla.BS, Win64/Turla.BR 

Группировка Turla получила известность в 2008 году, после взлома сети Центрального командования Вооруженных сил США. Цель киберпреступников — кража конфиденциальных данных, представляющих стратегическую важность. Жертвами в разные годы становились Министерство иностранных дел Финляндии (2013), правительство Германии (2017).

Подробнее — в блоге ESET



Подписывайтесь и читайте новости от ITквариат раньше остальных в нашем Telegram-канале !

Поделитесь этой новостью с друзьями!

Заметили ошибку? Выделите ее мышкой и нажмите Ctrl+Enter!  

И еще на эту тему...
  • ESET изучила новую атаку группировки BlackTech
  • Бэкдор группировки Turla позволяет редактировать письма на серверах Microsoft Exchange
  • Эксперты выявили первую реальную атаку с использованием руткита LoJax для UEFI
  • ESET раскрыла детали кибершпионской операции, нацеленной на правительственные учреждения Украины
  • 25% обнаружений Win32 / Glupteba приходится на Россию, Украину и Турцию
  • Кибершпионская группа Turla начала использовать для заражения устройств платформу Metasploit
  • Что случилось в первый день PHDays 8 или "Цифра" наизнанку


  • А что вы думаете? Напишите в комментариях!
    Кликните на изображение чтобы обновить код, если он неразборчив



    В комментариях запрещено использовать ненормативную лексику, оскорблять других пользователей сайта, запрещены активные ссылки на сторонние сайты и реклама в комментариях. Уважаемые читатели! Просим вас, оставляя комментарии, уважать друг друга и не злоупотреблять свободой слова. Пользователи, которые нарушают эти правила грубо или систематически, будут заблокированы.

    Полная версия правил
    ITквариат Powered by © 1996-2019