СМИ: в офисе Group-IB обыски, Сачков может быть задержан

СМИ: в офисе Group-IB обыски, Сачков может быть задержан

СМИ: в офисе Group-IB обыски, Сачков может быть задержан

СМИ сообщают об обысках в московском офисе компании Group-IB, которая специализируется на противодействии преступлениям в цифровом пространстве. Также есть информация о задержании Ильи Сачкова, генерального директора и основателя.

Источники СМИ сообщили о следственных действиях по уголовному делу. Именно по этому делу во вторник утром якобы задержали основателя Group-IB.

Известно, что этой ночью сотрудники RTVI приехали к офису компании, расположенному на Шарикоподшипниковой улице. Там корреспонденты увидели автобус и минивэн с тонированными стёклами.

На входе стояли двое вооружённых мужчин в масках. Именно они заявили сотрудникам RTVI, что внутрь никого не пустят, также предположительные силовики отказались от любых комментариев в отношении происходящего в офисе.

Видимо, пока всё же стоит воздержаться от скоропалительных выводов, поскольку ситуация может в корне отличаться от того, что преподносят СМИ. Официальные позиции руководства Group-IB и правоохранителей пока только предстоит услышать.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Российские предприятия атакованы под видом ВОЕНМЕХа — F6 винит FakeTicketer

Специалисты из департамента Threat Intelligence компании F6 обнаружили ряд признаков, указывающих на связь между кибершпионской кампанией HollowQuill и известной киберпреступной группировкой FakeTicketer.

По данным F6, атаки были направлены на российские промышленные предприятия. Хакеры использовали документ, который выглядел как официальное письмо от имени Балтийского государственного технического университета «ВОЕНМЕХ».

Однако еще в конце 2024 года активность, связанную с этой кампанией, заметили эксперты из Positive Technologies. Теперь же специалисты F6 провели дополнительное расследование и обнаружили пересечения с операциями группы FakeTicketer.

та группа, предположительно занимающаяся кибершпионажем, действует как минимум с июня 2024 года. Среди её целей — промышленные компании, госучреждения и даже спортивные чиновники.

Анализ вредоносной программы и используемой инфраструктуры показал, что в HollowQuill и у FakeTicketer используются схожие дропперы и похожие доменные имена. В частности, эксперты нашли совпадения с вредоносом Zagrebator.Dropper, который связывают с FakeTicketer:

  • Оба дроппера — LazyOneLoader и Zagrebator.Dropper — написаны на C#.
  • У них одинаковые названия иконок («faylyk»).
  • И файлы, и иконки хранятся в ресурсах программы; дропперы извлекают эти данные и записывают их с помощью одного и того же класса — BinaryWrite.
  • Код, создающий ярлыки, почти не отличается.
  • Используются файлы с названиями OneDrive*.exe и OneDrive*.lnk для маскировки активности.

Кроме того, в F6 заметили, что FakeTicketer раньше регистрировали ряд доменов с одинаковыми данными владельца. Один из таких доменов — phpsymfony[.]info. При этом в HollowQuill фигурировал домен phpsymfony[.]com — он использовался как C2-сервер для Cobalt Strike.

По мнению исследователей, эти совпадения позволяют предположить, что за кампанией HollowQuill, скорее всего, стоит группа FakeTicketer — хотя и с оговоркой, что уверенность в этом пока средняя.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru