У APT-группы Nobelium появился кастомный Windows-загрузчик — Ceeloader

У APT-группы Nobelium появился кастомный Windows-загрузчик — Ceeloader

У APT-группы Nobelium появился кастомный Windows-загрузчик — Ceeloader

Наблюдатели из Mandiant обнаружили новый кастомный инструмент в арсенале APT29 (в Microsoft эту APT-группу называют Nobelium). Загрузчик Ceeloader избирательно устанавливается на Windows-машины после проникновения в сеть и обеспечивает скрытное исполнение вредоносного шелл-кода.

Кибергруппировка Nobelium, она же APT29, The Dukes и Cozy Bear, известна прежде всего громкой атакой на SolarWinds, затронувшей множество организаций по всему миру. За рубежом этим хорошо обеспеченным хакерам склонны приписывать российские корни.

Целью атак APT-группы является шпионаж; ее интересуют секреты правительственных учреждений, военных организаций, НКО, НИИ, ИТ-компаний, телеком-провайдеров. В своих вылазках Nobelium часто использует легитимные инструменты Windows, но всегда делает ставку на собственные разработки. Так, в атаке на SolarWinds засветился целый ряд новых кастомных зловредов — бэкдор Sunburst, обеспечивающий его установку Sunspot, бэкдоры GoldMax, Sibot и GoldFinder.

Теперь этот арсенал, по данным Mandiant, пополнился специализированным загрузчиком. Написанный на C вредонос Ceeloader примечателен тем, что поддерживает исполнение шелл-кода в памяти.

Код самого зловреда сильно обфусцирован: он щедро замусорен и часто без цели вызывает Windows API. Нужные вызовы при этом скрываются с помощью функции-обертки, которая расшифровывает имя API и динамически разрешает его перед вызовом.

Для коммуникаций Ceeloader использует HTTP, а ответы с C2-сервера расшифровывает, используя AES-256 в режиме CBC. Запрос HTTP содержит статически определенный ID (в сэмплах может варьироваться).

Установку Ceeloader осуществляет развернутый в сети Cobalt Strike Beacon; в зараженной системе создается плановое задание на запуск при каждом входе уровня SYSTEM. Специального механизма для обеспечения постоянного присутствия в системе у нового загрузчика нет. Целевую полезную нагрузку он скачивает из внешнего источника — эксперты выявили два таких WordPress-сайта, по всей видимости, скомпрометированных.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

ОС РОСА Мобайл получила сертификат ФСТЭК по 4-му уровню доверия

Мобильная операционная система РОСА Мобайл прошла сертификацию ФСТЭК России по 4-му уровню доверия. Данный сертификат подтверждает соответствие системы самым строгим требованиям безопасности и открывает устройствам на ее основе возможность использования на объектах с повышенными требованиями к защищенности.

Сертификат соответствия номер 4867 был внесен в государственный реестр системы сертификации средств защиты информации по требованиям безопасности информации 13 ноября 2024 года.

Сертификация означает, что ОС РОСА Мобайл полностью соответствует требованиям по безопасности, установленным в документах «Требования по безопасности информации, устанавливающие уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий» (ФСТЭК России, 2020) — по 4 уровню доверия, «Требования безопасности информации к операционным системам» (ФСТЭК России, 2016) и «Профиль защиты операционных систем типа А четвертого класса защиты. ИТ.ОС.А4.ПЗ (ФСТЭК России, 2017).

ОС РОСА Мобайл была изначально разработана с акцентом на безопасность и удобство использования. ОС является частью экосистемы от НТЦ РОСА наряду с системами для серверов и рабочих станций. Она используется в российском смартфоне Р-ФОН, ориентированном на корпоративных клиентов, компании с госучастием и госструктуры, которые предъявляют повышенные требования к безопасности и надежности используемых решений. Смартфон Р-ФОН был спроектирован компанией «Рутек» и производится в России на площадке «Технопарк-Мордовия».

Все системные драйверы для Р-ФОН разработаны инженерами АО «НТЦ ИТ РОСА», что позволяет избежать использования недекларируемых возможностей — скрытых участков кода, которые могут использоваться для несанкционированного доступа к данным. Важно отметить, что многие производители микрочипов предоставляют драйверы, содержащие закрытые участки кода (так называемые «блобы»). Такие компоненты представляют потенциальную угрозу для пользователей, так как могут передавать конфиденциальную информацию третьим лицам. В РОСА Мобайл такой риск полностью исключен.

«Сертификация ФСТЭК России по 4-м уровнем доверия — это значимый шаг для нашей компании. Мы продолжаем развивать экосистему РОСА, предлагая клиентам безопасные и современные решения, способные удовлетворить их потребности. РОСА Мобайл и смартфон Р-ФОН — это первый опыт полноценной интеграции, демонстрирующий, что отечественные технологии способны обеспечить безопасность на самом высоком уровне», — заявил Олег Карпицкий, генеральный директор АО «НТЦ ИТ РОСА».

4 декабря на площадке AM Live состоится конференция «Российские мобильные устройства». На ней участники рынка обсудят перспективы развития корпоративной мобильности в текущих условиях.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru