Новый вредонос в письмах от МВД атакует российские компании
Эксперты F6* зафиксировали новые атаки группировки ReaverBits, нацеленные на российские компании. В недавних атаках использовались усовершенствованный Meduza Stealer и новый бэкдор ReaverDoor. Как выявить вредоносы таких классов, рассказала аналитик лаборатории исследований кибербезопасности компании «Газинформсервис» Ирина Дмитриева.
ReaverBits известны изощрёнными методами социальной инженерии, спуфингом и фишинговыми кампаниями, направленными на сотрудников организаций российского сектора. Вредоносное ПО (ВПО) распространяется под видом официальных документов государственных ведомств и легитимного программного обеспечения. За последние полгода зафиксировано 3 уникальных цепочки заражения жертв группировки.
В январе 2025 года ReaverBits осуществила рассылку писем от имени МВД России. В сообщениях содержалась ссылка на якобы официальный документ, однако при переходе жертва загружала заражённый исполняемый файл «Повестка». После загрузки вредоноса осуществлялась проверка языка, установленного в браузере жертвы: если в настройках браузера установлен русский язык, происходило перенаправление на вредоносный ресурс, в противном случае пользователь попадал на официальный сайт МВД. В файле находился загрузчик, основанный на легитимном инструменте NBTExplorer, который скачивал и запускал Meduza Stealer.
Вредоносные загрузчики основаны на легитимных open-source-проектах, в которые внедрён вредоносный код. Они загружают файлы с удалённых серверов, а их URI-адреса имеют унифицированное обозначение res.js. Вредоносные файлы шифруются по сложной схеме, включающей множественное шифрование по алгоритмам AES-256, PBKDF2 и Base64, что значительно усложняет их реверс-анализ и последующее обнаружение известных сигнатур антивирусными системами.
«Детектирование сложного ВПО — это нетривиальная задача, которую требуется решать с помощью продвинутых средств анализа сетевого трафика (NTA) и настройки правил блокировки поступающего контента на безопасных почтовых шлюзах (SEG). Для грамотной настройки средств защиты необходимы актуальные сведения о трендах в даркнете, основанные на проактивной разведке угроз (Threat Intelligence & Threat Hunting). В соответствии с внутренними регламентами эксперты GSOC компании "Газинформсервис" анализируют и собирают новые индикаторы злонамеренной активности из внешних источников по всей "Пирамиде боли" злоумышленника. Далее эти сведения задействуются в детективных и превентивных механизмах защиты инфраструктуры. Напоминаю, что "точкой" входа для такого ВПО являются пользователи. Важность курсов по антифишингу играет значительную роль в безопасности компании», — говорит эксперт компании «Газинформсервис» Ирина Дмитриева.
*F6 — разработчик технологий для борьбы с киберпреступностью, предотвращения и расследования киберпреступлений в России и за рубежом.
Исследователи обнаружили бэкдоры в старых версиях популярной платформы электронной коммерции Magento. Уязвимости, датируемые 2019 годом, позволяли злоумышленникам получать полный контроль над скомпрометированными сайтами.
Компании «Газинформсервис» и «Индид» объявили об успешном завершении тестирования на совместимость системы управления базами данных Jatoba версии 6.4.1 и решения для управления привилегированным доступом Indeed Privileged Access Manager (Indeed PAM) версии 3.0. Интеграция этих продуктов обеспечивает организациям комплексную защиту критически важных данных, позволяя контролировать доступ привилегированных пользователей к базам данных и минимизировать риски несанкционированного доступа..
В популярном архиваторе WinZip обнаружена критическая уязвимость «нулевого дня», позволяющая хакерам обходить защитный механизм Mark-of-the-Web (MotW) и незаметно внедрять вредоносный код. Александр Михайлов, руководитель GSOC компании «Газинформсервис», напоминает — даже к самым сложным 0-day-атакам можно подготовиться заранее.
Китайская хакерская группировка Billbug (Lotus Blossom) развернула новую волну кибершпионажа против крупных организаций в Юго-Восточной Азии. Злоумышленники используют арсенал сложного вредоносного ПО, включая бэкдоры (Sagerunex), средства кражи учетных данных (ChromeKatz, CredentialKatz) и специализированные инструменты удаленного доступа.
Китайская хакерская группировка Billbug (Lotus Blossom) развернула новую волну кибершпионажа против крупных организаций в Юго-Восточной Азии. Злоумышленники используют арсенал сложного вредоносного ПО, включая бэкдоры (Sagerunex), средства кражи учетных данных (ChromeKatz, CredentialKatz) и специализированные инструменты удаленного доступа.
На Всероссийской научно-практической конференции «Кадровое обеспечение информационной безопасности Российской Федерации» компания «Газинформсервис» поделилась опытом модернизации образовательных программ в сфере ИБ и призвала к созданию более гибких и адаптивных программ обучения. Компания выступила партнёром мероприятия, собравшего представителей федеральных органов власти (включая ФСТЭК России), госкорпораций, экспертного сообщества, бизнеса, разработчиков, интеграторов, а также образовательных организаций всех уровней..
Компания «Газинформсервис» продолжает знакомить будущих специалистов по информационной безопасности (ИБ) с практической стороной профессии в рамках проекта Security Skills. 18 апреля в Санкт-Петербурге прошла очередная встреча студентов ведущих технических вузов города с экспертами компании.
