Новый вредонос в письмах от МВД атакует российские компании
Эксперты F6* зафиксировали новые атаки группировки ReaverBits, нацеленные на российские компании. В недавних атаках использовались усовершенствованный Meduza Stealer и новый бэкдор ReaverDoor. Как выявить вредоносы таких классов, рассказала аналитик лаборатории исследований кибербезопасности компании «Газинформсервис» Ирина Дмитриева.
ReaverBits известны изощрёнными методами социальной инженерии, спуфингом и фишинговыми кампаниями, направленными на сотрудников организаций российского сектора. Вредоносное ПО (ВПО) распространяется под видом официальных документов государственных ведомств и легитимного программного обеспечения. За последние полгода зафиксировано 3 уникальных цепочки заражения жертв группировки.
В январе 2025 года ReaverBits осуществила рассылку писем от имени МВД России. В сообщениях содержалась ссылка на якобы официальный документ, однако при переходе жертва загружала заражённый исполняемый файл «Повестка». После загрузки вредоноса осуществлялась проверка языка, установленного в браузере жертвы: если в настройках браузера установлен русский язык, происходило перенаправление на вредоносный ресурс, в противном случае пользователь попадал на официальный сайт МВД. В файле находился загрузчик, основанный на легитимном инструменте NBTExplorer, который скачивал и запускал Meduza Stealer.
Вредоносные загрузчики основаны на легитимных open-source-проектах, в которые внедрён вредоносный код. Они загружают файлы с удалённых серверов, а их URI-адреса имеют унифицированное обозначение res.js. Вредоносные файлы шифруются по сложной схеме, включающей множественное шифрование по алгоритмам AES-256, PBKDF2 и Base64, что значительно усложняет их реверс-анализ и последующее обнаружение известных сигнатур антивирусными системами.
«Детектирование сложного ВПО — это нетривиальная задача, которую требуется решать с помощью продвинутых средств анализа сетевого трафика (NTA) и настройки правил блокировки поступающего контента на безопасных почтовых шлюзах (SEG). Для грамотной настройки средств защиты необходимы актуальные сведения о трендах в даркнете, основанные на проактивной разведке угроз (Threat Intelligence & Threat Hunting). В соответствии с внутренними регламентами эксперты GSOC компании "Газинформсервис" анализируют и собирают новые индикаторы злонамеренной активности из внешних источников по всей "Пирамиде боли" злоумышленника. Далее эти сведения задействуются в детективных и превентивных механизмах защиты инфраструктуры. Напоминаю, что "точкой" входа для такого ВПО являются пользователи. Важность курсов по антифишингу играет значительную роль в безопасности компании», — говорит эксперт компании «Газинформсервис» Ирина Дмитриева.
*F6 — разработчик технологий для борьбы с киберпреступностью, предотвращения и расследования киберпреступлений в России и за рубежом.
Исследователь безопасности обнаружил критическую уязвимость в веб-приложении, которая позволила ему, имея учётную запись обычного пользователя, получить полный контроль над административной панелью. Эксплойт был основан на комбинации нескольких ошибок: отсутствии подтверждения email, слабом контроле доступа к административным функциям и возможности редактирования чужих профилей без повторной аутентификации.
Телефонные мошенники разработали новую схему обмана, нацеленную на детей, сдающих ЕГЭ и ОГЭ. Злоумышленники сообщают школьникам о якобы непройденной регистрации на образовательном сервисе и угрожают недопуском к экзаменам. Под предлогом решения проблемы они отправляют фишинговые ссылки, переходя по которым дети теряют деньги. Об этом сообщил ТАСС старший оперуполномоченный УБК МВД России Илья Елясов.
С сегодняшнего дня вступает в силу действие поправок в КоАП РФ об оборотных штрафах вследствие повторно допущенной утечки персональных данных из организации. В то же время Роскомнадзор опубликовал статистику российских инцидентов с утечками: в ведомстве зафиксировали 30 утечек данных. Общий объём скомпрометированных данных составил 38 млн строк.
Современные рекомендательные системы часто отстают от динамично меняющихся предпочтений пользователей. На «ТелеМультиМедиа Форуме 2025» Ирина Меженева, ведущий инженер-аналитик лаборатории топологического анализа данных и искусственного интеллекта аналитического центра кибербезопасности компании «Газинформсервис», рассказала об инновационном подходе к созданию рекомендательных систем, способных «понимать» пользователей и предсказывать их интересы.
23 мая на пресс-конференции в рамках международного киберфестиваля Positive Hack Days 2025 (PHDays 2025) компания «Газинформсервис» представила новую разработку в сфере кибербезопасности и рассказала об успехах своего центра мониторинга и реагирования GSOC, запущенного ровно год назад на этом же мероприятии. Николай Нашивочников, технический директор компании, остановился на ключевых достижениях GSOC и анонсировал новый продукт.
Эхтешам Уль Хак, аналитик по кибербезопасности из Пакистана, обнаружил уязвимость в веб-приложении, позволяющую обойти аутентификацию на основе одноразовых паролей (OTP), и заработал на этом $650. Михаил Спицын, киберэксперт лаборатории стратегического развития продуктов кибербезопасности компании «Газинформсервис», подчёркивает, что этот случай демонстрирует необходимость комплексной защиты, особенно при использовании OTP.
В российском корпоративном секторе после новости о возвращении операционной системы Windows ряд организаций принимает решение вернуться к привычной платформе. Как заключает киберэксперт, менеджер продукта «Блокхост-Сеть 4» компании «Газинформсервис» Константин Хитрово, это создаёт новые вызовы для обеспечения информационной безопасности.
