Раскрыт новый арсенал инструментов хакерской группировки Turla
от: 29-05-2019 13:21 | раздел: Новости
Международная антивирусная компания ESET обнаружила новые инструменты группировки Turla. В недавних атаках киберпреступники начали применять скрипты PowerShell, которые усложняют обнаружение вредоносных программ и сохраняют повышенную персистентность.
Недавно ESET зафиксировала несколько кибератак на дипломатические учреждения в Восточной Европе. Во всех случаях использовались скрипты PowerShell, которые позволяют загружать и запускать вредоносные программы прямо в памяти.
Этот способ более эффективен для сокрытия вредоносной активности по сравнению с традиционным сохранением исполняемого файла на диск. Эксперты ESET отмечают, что PowerShell-скрипты являются неотъемлемыми компонентами, позволяющими загрузить RPC- и PowerShell-бэкдоры.
Ранее киберпреступники уже пытались использовать загрузчики PowerShell, однако вредоносную кампанию не удалось реализовать из-за многочисленных багов. Сейчас Turla улучшила скрипты и теперь использует их для загрузки широкого спектра разнообразных вредоносных программ.
«Мы обнаружили и изучили не только новый загрузчик PowerShell, но и несколько вариантов полезной нагрузки», — рассказывает антивирусный эксперт ESET Матье Фау.
Несмотря на использование скриптов PowerShell, антивирусные продукты по-прежнему могут детектировать вредоносную полезную нагрузку. Эксперты выделяют два вида бэкдоров, один из которых получает контроль над устройствами локальной сети без привязки к внешнему C&C-серверу (бэкдор на базе RPC-протокола).
Другой, PowerStallion, использует хранилище Microsoft OneDrive в качестве C&C-сервера. «Мы считаем, что этот бэкдор помогает восстанавливать доступ в случаях, когда основные вредоносные программы заблокированы и не имеют доступ к скомпрометированным компьютерам», — полагает эксперт ESET Матье Фау.
Любопытно, что в новых атаках группировка использует бесплатный сервис электронной почты GMX.
ESET уверена, что использование средства с открытым исходным кодом (язык PowerShell) не означает, что группировка откажется от своих традиционных инструментов. Более того, киберпреступники скорее продолжат их совершенствование.
Решения ESET успешно детектируют угрозы как PowerShell/Turla.T, Win64/Turla.BQ, Win64/Turla.BQ, Win32/Turla.BZ, Win64/Turla.BS, Win64/Turla.BR
Группировка Turla получила известность в 2008 году, после взлома сети Центрального командования Вооруженных сил США. Цель киберпреступников — кража конфиденциальных данных, представляющих стратегическую важность. Жертвами в разные годы становились Министерство иностранных дел Финляндии (2013), правительство Германии (2017).
Подробнее — в блоге ESET.
Подписывайтесь и читайте новости от ITквариат раньше остальных в нашем
Telegram-канале !
Поделитесь этой новостью с друзьями!
Заметили ошибку? Выделите ее мышкой и нажмите Ctrl+Enter!
И еще на эту тему...
ESET изучила новую атаку группировки BlackTechБэкдор группировки Turla позволяет редактировать письма на серверах Microsoft ExchangeЭксперты выявили первую реальную атаку с использованием руткита LoJax для UEFIESET раскрыла детали кибершпионской операции, нацеленной на правительственные учреждения Украины25% обнаружений Win32 / Glupteba приходится на Россию, Украину и ТурциюКибершпионская группа Turla начала использовать для заражения устройств платформу MetasploitЧто случилось в первый день PHDays 8 или "Цифра" наизнанку
