Серверы MS SQL атакует троян, доставляющий Cobalt Strike

Серверы MS SQL атакует троян, доставляющий Cobalt Strike

Серверы MS SQL атакует троян, доставляющий Cobalt Strike

Последний месяц наблюдатели из корейской ИБ-компании AhnLab фиксируют массовый взлом доступных из интернета серверов Microsoft SQL с целью установки тулкита Cobalt Strike. Этот инструмент пентеста пользуется популярностью у злоумышленников: он помогает им расширить присутствие в сети целевой организации.

Атаки на серверы MS SQL обычно используют какую-то незакрытую уязвимость или слабость админ-паролей. В данном случае хакеры, по данным AhnLab, пытаются угадать учетные данные перебором по словарю или списку ходовых вариантов.

Доступные серверы базы данных они отыскивают сканированием портов (служба MS SQL по умолчанию работает на порту 1433). Таким же образом действуют нацеленные на добычу криптовалюты зловреды Kingminer и Vollgar, а также боты LemonDuck при самораспространении по сети.

В рамках текущей кампании злоумышленники используют полученный доступ для выполнения шелл-команд, обеспечивающих загрузку троянского дроппера. Зловред извлекает из себя и расшифровывает код Cobalt Strike, а затем внедряет его в память легитимного процесса MSBuild.exe. Подобные злоупотребления функциональностью Windows нередки; бесфайловый метод загрузки вредоносов помогает надежно скрыть их от антивирусов и обойти белые списки приложений.

Подвергнутый анализу образец Cobalt Strike был снабжен дополнительным средством защиты. При активации этой опции он подгружал Windows-библиотеку wwanmm.dll (WWan Media Manager) и записывал в ее область памяти свой маячок (Beacon). Такой метод сокрытия бэкдор-кода, по словам экспертов, способен уберечь его от обнаружения спецзащитой — средствами анализа содержимого памяти.

О конечной цели текущих атак на серверы MS SQL можно только догадываться: в некоторых логах были обнаружены следы присутствия криптоджекера Vollgar.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

80 000 руб. в среднем: дети помогают мошенникам красть деньги родителей

В феврале 2025 года специалисты зафиксировали около 600 случаев телефонного мошенничества, в которых злоумышленники использовали детей для получения доступа к банковским счетам их родителей.

Как отметили в компании F6, это в пять раз больше, чем в декабре 2024 года, и число таких инцидентов продолжает расти. Средняя сумма ущерба от подобных преступлений составляет 80 тысяч рублей.

Мошенники устанавливают контакт с детьми через игровые чаты, чаще всего на платформах Minecraft и Roblox. Вначале преступники предлагают виртуальную валюту или внутриигровые покупки, но затем переходят к более сложным методам воздействия.

В ход идут:

  • Запугивание и шантаж — злоумышленники могут утверждать, что родителям грозит уголовное преследование, и уговорить ребёнка выполнить «спасительные» инструкции.
  • Притворство — мошенники звонят от имени службы доставки, банка или правоохранительных органов, убеждая ребёнка передать данные для входа в личный кабинет.
  • Запрет на разговоры с родителями — преступники требуют от детей никому не рассказывать о переписке и инструкциях.

Чаще всего финальный этап атаки происходит ночью, когда родители спят. Злоумышленники просят ребёнка:

  • Приложить палец спящего родителя к экрану смартфона, чтобы разблокировать устройство и войти в банковское приложение.
  • Подсмотреть и запомнить пароль, а затем самостоятельно войти в личный кабинет и перевести деньги.
  • Переслать код из СМС, сфотографировать экран или удалить сообщения о списаниях.

По словам Александры Радченко, руководителя аналитического отдела по противодействию финансовому мошенничеству в F6, дети особенно подвержены таким атакам:

«Из-за нехватки жизненного опыта они легче поддаются манипуляциям и не всегда понимают последствия своих действий. Если ребёнок расскажет мошенникам о себе, это может привести к целевой атаке на его родителей».

Традиционные методы защиты, такие как двухфакторная аутентификация или антивирусные продукты, в данном случае бессильны — ведь деньги переводит сам владелец счёта, просто по указке злоумышленников.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru