Analyst1: Российские спецслужбы сотрудничают с операторами шифровальщиков

Analyst1: Российские спецслужбы сотрудничают с операторами шифровальщиков

Analyst1: Российские спецслужбы сотрудничают с операторами шифровальщиков

Компания Analyst1, занимающаяся кибербезопасностью, заявила, что российские спецслужбы взаимодействуют с известными операторами программ-вымогателей (шифровальщиков), которые помогают взломать государственные органы США.

В частности, обвинения коснулись Федеральной службы безопасности России (ФСБ) и Службы внешней разведки России (СВР).

Согласно отчёту Analyst1, ФСБ и СВР сотрудничают с участниками «многочисленных киберпреступных группировок». По словам исследователей, эти группы помогают российским спецслужбам создавать и разворачивать кастомные вредоносные программы, которые впоследствии используются в атаках на американские компании.

Кибергруппировки якобы используют вариацию печально известной программы-вымогателя Ryuk, получившую собственное имя — Sidoh. Эксперты Analyst1 утверждают, что этот вредонос специально адаптирован под кибершпионаж.

По данным исследователей, код зловреда был запущен в период между июнем 2019 года и январём 2020-го. Сама программа работала в фоновом режиме на компьютерах под управлением операционной системы Windows. Параллельно вредонос незаметно собирал конфиденциальные документы и фиксировал нажатия клавиш на клавиатурах.

Одна из атак, описываемых исследователями, датируется октябрём 2020 года. По данным Analyst1, за этой кампанией стояла киберпреступная группировка EvilCorp. А спустя два месяца эту же цель поразила ещё одна группа — SilverFish, причём она использовала ту же инфраструктуру, те же скрипты и инструменты для взлома.

Официальные представители Кремля пока никак не отреагировали на заявления Analyst1. Да и как тут можно реагировать, когда в очередной раз такие вот исследователи не предоставляют конкретных доказательств участия российских спецслужб в атаках на США.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Российские предприятия атакованы под видом ВОЕНМЕХа — F6 винит FakeTicketer

Специалисты из департамента Threat Intelligence компании F6 обнаружили ряд признаков, указывающих на связь между кибершпионской кампанией HollowQuill и известной киберпреступной группировкой FakeTicketer.

По данным F6, атаки были направлены на российские промышленные предприятия. Хакеры использовали документ, который выглядел как официальное письмо от имени Балтийского государственного технического университета «ВОЕНМЕХ».

Однако еще в конце 2024 года активность, связанную с этой кампанией, заметили эксперты из Positive Technologies. Теперь же специалисты F6 провели дополнительное расследование и обнаружили пересечения с операциями группы FakeTicketer.

та группа, предположительно занимающаяся кибершпионажем, действует как минимум с июня 2024 года. Среди её целей — промышленные компании, госучреждения и даже спортивные чиновники.

Анализ вредоносной программы и используемой инфраструктуры показал, что в HollowQuill и у FakeTicketer используются схожие дропперы и похожие доменные имена. В частности, эксперты нашли совпадения с вредоносом Zagrebator.Dropper, который связывают с FakeTicketer:

  • Оба дроппера — LazyOneLoader и Zagrebator.Dropper — написаны на C#.
  • У них одинаковые названия иконок («faylyk»).
  • И файлы, и иконки хранятся в ресурсах программы; дропперы извлекают эти данные и записывают их с помощью одного и того же класса — BinaryWrite.
  • Код, создающий ярлыки, почти не отличается.
  • Используются файлы с названиями OneDrive*.exe и OneDrive*.lnk для маскировки активности.

Кроме того, в F6 заметили, что FakeTicketer раньше регистрировали ряд доменов с одинаковыми данными владельца. Один из таких доменов — phpsymfony[.]info. При этом в HollowQuill фигурировал домен phpsymfony[.]com — он использовался как C2-сервер для Cobalt Strike.

По мнению исследователей, эти совпадения позволяют предположить, что за кампанией HollowQuill, скорее всего, стоит группа FakeTicketer — хотя и с оговоркой, что уверенность в этом пока средняя.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru