Группа Bronze Starlight подписывает малварь сертификатом VPN-провайдера

Группа Bronze Starlight подписывает малварь сертификатом VPN-провайдера

Группа Bronze Starlight подписывает малварь сертификатом VPN-провайдера

Китайская киберпреступная группировка, известная под именем Bronze Starlight, атакует игровую индустрию Юго-Восточной Азии подписанной вредоносной программой. Особенность кампании заключается в том, что зловред подписан с помощью валидного сертификата, принадлежащего VPN-провайдеру Ivacy.

Использование действующего сертификата во многом облегчает киберпреступникам задачу, поскольку вредонос может обойти антивирусы и в целом свести к минимуму различные алерты.

По словам специалистов компании SentinelLabs, которые зафиксировали и описали новые атаки, используемый сертификат принадлежит сингапурскому поставщику VPN — PMG PTE LTD. Эта организация стоит за разработкой Ivacy VPN.

 

Есть подозрение, что описанная SentinelLabs кампания стала продолжением кибероперации «ChattyGoblin», о которой ESET предупреждала не так давно. Тем не менее точная идентификация затрудняется привычками китайских кибергруппировок: они часто используют одни и те же инструменты.

Атака начинается со сброса исполняемых файлов .NET в систему жертвы — agentupdate_plugins.exe и AdventureQuest.exe. Судя по всему, для доставки используются мессенджеры.

После этого происходит загрузка защищённого паролем ZIP-архива с сервера Alibaba. Исполняшка AdventureQuest.exe впервые попалась команде MalwareHunterteam в мае, именно тогда эксперты обратили внимание на подпись вредоноса сертификатом Ivacy VPN.

В архиве лежат уязвимые версии софта Adobe Creative Cloud, Microsoft Edge и McAfee VirusScan, с которыми можно провернуть технику загрузки вредоносной DLL (DLL hijacking). В качестве библиотек выступают следующие три файла: libcef.dll, msedge_elf.dll и LockDown.dll. Задача — установить на компьютер жертвы маячки Cobalt Strike.

 

Занятно, что исполняемые файлы содержат ряд ограничений по геолокации: вредоносная программа не запустится на компьютерах из Великобритании, Германии, Франции, России, Индии, Канады и США.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Александр Винник готов к вылету в Россию

Александр Винник, обменянный на гражданина США Марка Фогеля, в настоящее время находится в специальной зоне и ожидает отправки в Россию. Об этом сообщил его адвокат Фредерик Бело.

По словам Бело, американский маршал, ответственный за сопровождение Винника в рамках обмена, прибыл еще 12 февраля. Он ожидает, что Винник прибудет в Россию в ближайшие дни.

«Сейчас он находится в особой зоне в ожидании трансфера. Маршрут его перемещения не раскрывается, это конфиденциальная информация. Мы ждем подтверждения, что он в самолете и направляется в Россию», — заявил адвокат.

Александр Винник был арестован в Греции в 2017 году. Ему предъявили обвинения в отмывании от 4 до 9 миллиардов долларов и возможной причастности к атаке на биржу Mt. Gox.

Позднее обвинения в мошенничестве и краже личных данных выдвинули французские власти, после чего в 2020 году его экстрадировали во Францию. Там суд приговорил его к пяти годам заключения. В 2022 году Винник был передан в США, где до 12 февраля 2024 года продолжалось разбирательство.

В России против Винника также выдвинуты обвинения в мошенничестве на сумму 750 миллионов рублей, и в 2018 году он был заочно арестован.

Фредерик Бело отметил, что его подзащитный был обменян в приоритетном порядке по гуманитарным причинам:

«Для него это было тяжелое время. Он не смог проститься с женой перед ее смертью. Сейчас ему необходимо восстановить связь с семьей, с детьми, которых он не видел много лет». Адвокат также выразил уверенность в невиновности Винника.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru