Исследователи компании Palo Alto Networks изучали вредоносные документы Microsoft Office. Специалисты обнаружили, что многие документы были созданы при помощи генератора эксплоитов MNKit, что позволило им найти связь между разными семействами малвари, авторство которых приписывают разным группам китайских хакеров.
MNKit – один из наиболее популярных у киберпреступников генераторов эксплоитов, злоумышленники используют его уже не один год. В частности, данный инструмент помогает создавать вредоносные документы Office, эксплуатируя уязвимость CVE-2012-0158. Баг был устранен еще в 2012 году, но далеко не все устанавливают патчи.
Исследователи пишут, что в последнее время они наблюдают атаки, в ходе которых для доставки малвари на устройства жертв использовались вредоносные документы, созданные с помощью MNKit. При помощи зараженных документов злоумышленники распространяли Lurk0, NetTraveler и Saker, атакуя университеты, некоммерческие организации, а также различные политические и правозащитные группы, чья деятельность так или иначе связана с исламом и южной Азией,
Lurk0 — это классический RAT (remote access trojan), созданный на базе Gh0stRAT. Эксперты компании Citizen Lab еще в 2012 году написали о данной малвари большой отчет, когда впервые обнаружили, что вредонос атакует тибетские организации.
NetTraveler, в свою очередь, представляет собой бекдор, который обычно применяется для хищения данных, а также для установки на компьютер жертвы дополнительной малвари. О NetTraveler писали специалисты «Лаборатории Касперского» в 2013 году. Малварь была замечена в ходе кибершпионской кампании, от которой пострадали организации по всему миру, в том числе и тибетские.
Вредонос Saker также известен под названиями Xbox или Mongall, и это еще один шпионский инструмент. Считается, что Saker связан с китайской группой, которая известна как Moafee или DragonOK. Специалисты компания Proofpoint в 2015 году выявили кампанию, в ходе которой Saker применялся против российских военных и телекомов.
Эксперты Palo Alto Networks утверждают, что им удалось найти связь между перечисленными семействами малвари и атаками прошлых лет. Так, исследователи пишут, что почти во всех изученных ими случаях, злоумышленники использовали один и тот же вариант генератора эксплоитов MNKit, одинаковые email-адреса, имена прикрепленных файлов, ключи XOR, домены управляющих серверов, IP-адреса и даже жертвами их атак становились одни и те же компании и организации. Тем не менее, эксперты затрудняются сказать, кто ответственен за новые атаки сейчас.
«Установление авторства в таких случаях – сложное искусство, и кто угодно может стоять за новыми атаками, используя инфраструктуру, семейства малвари и механизмы доставки, которые так или иначе связаны с предыдущими известными инцидентами», — резюмируют эксперты.
По данным Ассоциации разработчиков программных продуктов «Отечественный софт», после введения запрета на использование зарубежных средств защиты злоумышленники начали пытаться получать информацию об уязвимостях в российских системах через инсайдеров.
С 1 января 2025 года в России вступил в силу запрет на использование зарубежных средств защиты в государственных структурах и ряде компаний. Эти меры были установлены двумя президентскими указами.
Запрет охватывает органы государственной власти всех уровней, госкомпании, системообразующие организации и объекты критической информационной инфраструктуры (КИИ). В общей сложности ограничения касаются более 500 тысяч предприятий и организаций.
Специалисты АРПП «Отечественный софт» сообщили ТАСС о росте числа попыток злоумышленников использовать инсайдеров среди российских разработчиков:
«Злоумышленники адаптируются к процессу импортозамещения. Уже зафиксированы попытки хакерских групп привлечь российских разработчиков для поиска уязвимостей в отечественных системах защиты».
Опрошенные ТАСС эксперты отметили, что замещение средств защиты информации прошло успешно, однако в ПО, использующемся в критической инфраструктуре, возникли определенные сложности.
Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
