og technology 001

БпСциалисты ESETΒ ΠΎΠ±Π½Π°Ρ€ΡƒΠΆΠΈΠ»ΠΈ Π½ΠΎΠ²ΡƒΡŽ ΠΊΠΈΠ±Π΅Ρ€ΡˆΠΏΠΈΠΎΠ½ΡΠΊΡƒΡŽ кампанию, Π½Π°Ρ†Π΅Π»Π΅Π½Π½ΡƒΡŽ Π½Π° ΠΏΡ€Π°Π²ΠΈΡ‚Π΅Π»ΡŒΡΡ‚Π²Π΅Π½Π½Ρ‹Π΅ учрСТдСния Π£ΠΊΡ€Π°ΠΈΠ½Ρ‹. По Π΄Π°Π½Π½Ρ‹ΠΌ Ρ‚Π΅Π»Π΅ΠΌΠ΅Ρ‚Ρ€ΠΈΠΈΒ ESET, насчитываСтся нСсколько сотСн ΠΆΠ΅Ρ€Ρ‚Π² Π² Ρ€Π°Π·Π½Ρ‹Ρ… организациях.

ESETΒ Π½Π°Π±Π»ΡŽΠ΄Π°Π΅Ρ‚ Π·Π° Π΄Π΅ΡΡ‚Π΅Π»ΡŒΠ½ΠΎΡΡ‚ΡŒΡŽ Π΄Π°Π½Π½ΠΎΠΉ ΠΊΠΈΠ±Π΅Ρ€Π³Ρ€ΡƒΠΏΠΏΡ‹ с сСрСдины 2017 Π³ΠΎΠ΄Π°. Π—Π»ΠΎΡƒΠΌΡ‹ΡˆΠ»Π΅Π½Π½ΠΈΠΊΠΈ ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΡƒΡŽΡ‚ Ρ‚Ρ€ΠΈ инструмСнта ΡƒΠ΄Π°Π»Π΅Π½Π½ΠΎΠ³ΠΎ управлСния: Quasar, Sobaken ΠΈ Vermin. ВрСдоносныС ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΡ‹ ΠΏΠΎΠ·Π²ΠΎΠ»ΡΡŽΡ‚ ΡƒΠΏΡ€Π°Π²Π»ΡΡ‚ΡŒ Π·Π°Ρ€Π°ΠΆΠ΅Π½Π½Ρ‹ΠΌΠΈ систСмами ΠΈ ΠΊΡ€Π°ΡΡ‚ΡŒ ΠΊΠΎΠ½Ρ„ΠΈΠ΄Π΅Π½Ρ†ΠΈΠ°Π»ΡŒΠ½Ρ‹Π΅ Π΄ΠΎΠΊΡƒΠΌΠ΅Π½Ρ‚Ρ‹. Они ΠΎΠ΄Π½ΠΎΠ²Ρ€Π΅ΠΌΠ΅Π½Π½ΠΎ ΠΏΡ€ΠΈΠΌΠ΅Π½ΡΡŽΡ‚ΡΡ Π½Π° ΠΎΠ΄Π½ΠΈΡ… ΠΈ Ρ‚Π΅Ρ… ΠΆΠ΅ Ρ†Π΅Π»Π΅Π²Ρ‹Ρ… ΠΊΠΎΠΌΠΏΡŒΡŽΡ‚Π΅Ρ€Π°Ρ…, частично дСлят инфраструктуру ΠΈ ΠΏΠΎΠ΄ΠΊΠ»ΡŽΡ‡Π°ΡŽΡ‚ΡΡ ΠΊ ΠΎΠ±Ρ‰ΠΈΠΌ ΡƒΠΏΡ€Π°Π²Π»ΡΡŽΡ‰ΠΈΠΌ сСрвСрам.


image001

  • Quasar – инструмСнт ΡƒΠ΄Π°Π»Π΅Π½Π½ΠΎΠ³ΠΎ управлСния Π½Π° Π±Π°Π·Π΅ ΠΎΡ‚ΠΊΡ€Ρ‹Ρ‚ΠΎΠ³ΠΎ исходного ΠΊΠΎΠ΄Π°, доступного Π½Π° GitHub. БпСциалисты ESET отслСдили ΠΊΠ°ΠΌΠΏΠ°Π½ΠΈΠΈ с использованиСм Quasar с октября 2015 Π³ΠΎΠ΄Π°.
  • Sobaken – модифицированная вСрсия Quasar. Π•Π΅ Π°Π²Ρ‚ΠΎΡ€Ρ‹ ΠΎΡ‚ΠΊΠ°Π·Π°Π»ΠΈΡΡŒ ΠΎΡ‚ части Ρ„ΡƒΠ½ΠΊΡ†ΠΈΠΉ врСдоносной ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΡ‹, Ρ‡Ρ‚ΠΎΠ±Ρ‹ ΡΠ΄Π΅Π»Π°Ρ‚ΡŒ исполняСмый Ρ„Π°ΠΉΠ» мСньшС, Π° Ρ‚Π°ΠΊΠΆΠ΅ Π²Π½Π΅Π΄Ρ€ΠΈΠ»ΠΈ инструмСнты для ΠΎΠ±Ρ…ΠΎΠ΄Π° пСсочницы ΠΈ Π΄Ρ€ΡƒΠ³ΠΈΠ΅ Ρ‚Π΅Ρ…Π½ΠΈΠΊΠΈ, ΠΏΠΎΠ·Π²ΠΎΠ»ΡΡŽΡ‰ΠΈΠ΅ ΠΈΠ·Π±Π΅Π³Π°Ρ‚ΡŒ обнаруТСния.
  • Vermin – слоТный кастомный бэкдор, Ρ€Π°Π·Ρ€Π°Π±ΠΎΡ‚Π°Π½Π½Ρ‹ΠΉ для Π΄Π°Π½Π½ΠΎΠΉ ΠΊΠ°ΠΌΠΏΠ°Π½ΠΈΠΈ. Он Π±Ρ‹Π» Π²ΠΏΠ΅Ρ€Π²Ρ‹Π΅ Π·Π°ΠΌΠ΅Ρ‡Π΅Π½ Β«Π² Π΄ΠΈΠΊΠΎΠΉ ΠΏΡ€ΠΈΡ€ΠΎΠ΄Π΅Β» Π² сСрСдинС 2016 Π³ΠΎΠ΄Π° ΠΈ Π² настоящСС врСмя ΠΏΡ€ΠΎΠ΄ΠΎΠ»ΠΆΠ°Π΅Ρ‚ ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚ΡŒΡΡ. Как Quasar ΠΈ Sobaken, ΠΎΠ½ написан Π².NET. Код врСдоносной ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΡ‹ Π·Π°Ρ‰ΠΈΡ‰Π΅Π½ ΠΎΡ‚ Π°Π½Π°Π»ΠΈΠ·Π° с ΠΏΠΎΠΌΠΎΡ‰ΡŒΡŽ коммСрчСской систСмы Π·Π°Ρ‰ΠΈΡ‚Ρ‹ ΠΈ общСдоступных инструмСнтов.

ПослСдняя извСстная вСрсия Vermin ΠΏΠΎΠ΄Π΄Π΅Ρ€ΠΆΠΈΠ²Π°Π΅Ρ‚ 24 ΠΊΠΎΠΌΠ°Π½Π΄Ρ‹ ΠΈ нСсколько Π΄ΠΎΠΏΠΎΠ»Π½ΠΈΡ‚Π΅Π»ΡŒΠ½Ρ‹Ρ… – Π½Π°ΠΏΡ€ΠΈΠΌΠ΅Ρ€, прСдусмотрСна функция записи Π·Π²ΡƒΠΊΠ° с ΠΌΠΈΠΊΡ€ΠΎΡ„ΠΎΠ½Π° Π·Π°Ρ€Π°ΠΆΠ΅Π½Π½ΠΎΠ³ΠΎ устройства, ΠΊΠ΅ΠΉΠ»ΠΎΠ³Π³Π΅Ρ€ (ΠΏΠ΅Ρ€Π΅Ρ…Π²Π°Ρ‚ наТатия клавиш) ΠΈ срСдство ΠΊΡ€Π°ΠΆΠΈ ΠΏΠ°Ρ€ΠΎΠ»Π΅ΠΉ.

ВрСдоносныС ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΡ‹ Ρ€Π°ΡΠΏΡ€ΠΎΡΡ‚Ρ€Π°Π½ΡΡŽΡ‚ΡΡ с ΠΏΠΎΠΌΠΎΡ‰ΡŒΡŽ Ρ„ΠΈΡˆΠΈΠ½Π³ΠΎΠ²Ρ‹Ρ… рассылок. Π’ Π±ΠΎΠ»ΡŒΡˆΠΈΠ½ΡΡ‚Π²Π΅ случаСв названия Ρ„Π°ΠΉΠ»ΠΎΠ²-ΠΏΡ€ΠΈΠΌΠ°Π½ΠΎΠΊ написаны Π½Π° украинском языкС ΠΈ ΠΈΠΌΠ΅ΡŽΡ‚ ΠΎΡ‚Π½ΠΎΡˆΠ΅Π½ΠΈΠ΅ ΠΊ Ρ€Π°Π±ΠΎΡ‚Π΅ ΠΏΠΎΡ‚Π΅Π½Ρ†ΠΈΠ°Π»ΡŒΠ½Ρ‹Ρ… ΠΆΠ΅Ρ€Ρ‚Π². Помимо ΡΠΎΡ†ΠΈΠ°Π»ΡŒΠ½ΠΎΠΉ ΠΈΠ½ΠΆΠ΅Π½Π΅Ρ€ΠΈΠΈ, Π°Ρ‚Π°ΠΊΡƒΡŽΡ‰ΠΈΠ΅ ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΡƒΡŽΡ‚ тСхничСскиС срСдства: сокрытиС настоящих Ρ€Π°ΡΡˆΠΈΡ€Π΅Π½ΠΈΠΉ Ρ„Π°ΠΉΠ»ΠΎΠ² с ΠΏΠΎΠΌΠΎΡ‰ΡŒΡŽ символа Unicode, замаскированныС ΠΏΠΎΠ΄ Π°Ρ€Ρ…ΠΈΠ²Ρ‹Β RAR влоТСния, Π΄ΠΎΠΊΡƒΠΌΠ΅Π½Ρ‚Ρ‹Β Word с эксплойтом уязвимости CVE-2017-0199.


Данная кампания Π΄ΠΎΠΊΠ°Π·Ρ‹Π²Π°Π΅Ρ‚, Ρ‡Ρ‚ΠΎ ΠΊΠΈΠ±Π΅Ρ€ΡˆΠΏΠΈΠΎΠ½ΡΠΊΠΈΠ΅ ΠΎΠΏΠ΅Ρ€Π°Ρ†ΠΈΠΈ, построСнныС Π½Π° ΡΠΎΡ†ΠΈΠ°Π»ΡŒΠ½ΠΎΠΉ ΠΈΠ½ΠΆΠ΅Π½Π΅Ρ€ΠΈΠΈ, ΠΌΠΎΠ³ΡƒΡ‚ Π±Ρ‹Ρ‚ΡŒ Π½Π΅ ΠΌΠ΅Π½Π΅Π΅ ΡƒΡΠΏΠ΅ΡˆΠ½Ρ‹, Ρ‡Π΅ΠΌ Π°Ρ‚Π°ΠΊΠΈ с использованиСм слоТного врСдоносного ПО. Π­Ρ‚ΠΎ ΠΏΠΎΠ΄Ρ‡Π΅Ρ€ΠΊΠΈΠ²Π°Π΅Ρ‚ Π²Π°ΠΆΠ½ΠΎΡΡ‚ΡŒ обучСния пСрсонала, Π° Ρ‚Π°ΠΊΠΆΠ΅ Π½Π΅ΠΎΠ±Ρ…ΠΎΠ΄ΠΈΠΌΠΎΡΡ‚ΡŒ внСдрСния комплСксных Ρ€Π΅ΡˆΠ΅Π½ΠΈΠΉ для бСзопасности.

Leave a reply

Π’Π°Ρˆ адрСс email Π½Π΅ Π±ΡƒΠ΄Π΅Ρ‚ ΠΎΠΏΡƒΠ±Π»ΠΈΠΊΠΎΠ²Π°Π½. ΠžΠ±ΡΠ·Π°Ρ‚Π΅Π»ΡŒΠ½Ρ‹Π΅ поля ΠΏΠΎΠΌΠ΅Ρ‡Π΅Π½Ρ‹ *