Кампания SteganoAmor атаковала 320 организаций с помощью стеганографии

Кампания SteganoAmor атаковала 320 организаций с помощью стеганографии

Кампания SteganoAmor атаковала 320 организаций с помощью стеганографии

Киберпреступная группировка TA558 запустила новую волну атак, в которых вредоносный код прячется в графическом изображении (стеганография). Кампанию назвали SteganoAmor.

Стеганография — относительно популярный трюк в среде хорошо подготовленных киберпреступников. Эта техника позволяет атакующим прятать данные внутри безобидных с виду файлов.

В случае грамотной реализации злоумышленникам удаётся усыпить бдительность не только целевого пользователя, но и установленных защитных программ.

TA558 активна с 2018 года, участники этой группы известны атаками на организации сферы путешествий и туризма. Последняя кампания, на которую обратили внимание специалисты Positive Technologies, отмечается использованием стеганографии.

Исследователи зафиксировали более 320 новых кибератак, затронувших компании по всему миру.

Всё начинается с письма, содержащего вложение в формате Excel и Word. В случае запуска этого аттача вредоносный документ будет пытаться эксплуатировать уязвимость под идентификатором CVE-2017-11882. Это старая брешь, позволяющая запускать вредоносный код без взаимодействия с пользователем.

Поскольку Microsoft выпустила соответствующий патч ещё в 2017 году, перед нами очередное напоминание о важности своевременной установки обновлений софта. Сам вредоносный документ, фигурирующий в SteganoAmor, выглядит так:

 

Чтобы снизить риски блокировки отправленных писем, злоумышленники воспользовались взломанным SMTP-сервером. Если на атакованном компьютере не установлен патч для CVE-2017-11882, эксплойт загружает скрипт Visual Basic Script (VBS), а последний — получает изображение в формате JPG, в которое вставлен зашифрованный base-64 пейлоад.

 

В результате жертва получает на устройство одну из следующих вредоносных программ:

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

НКЦКИ расторг соглашение с Positive Technologies

Расторжение соглашения между Национальным координационным центром по компьютерным инцидентам (НКЦКИ) и Positive Technologies датировано 20 ноября. Соответствующее сообщение появилось вчера на официальном сайте системы ГосСОПКА.

Решение мотивируется «отсутствием взаимодействия по предусмотренным соглашением направлениям».

Как сообщил представитель НКЦКИ корреспонденту ТАСС, расторжение договора обусловлено «отсутствием взаимодействия по предусмотренным соглашением направлениям».

«Обращаем внимание руководителей федеральных органов исполнительной власти, высших исполнительных органов государственной власти субъектов Российской Федерации, государственных фондов, государственных корпораций (компаний) и иных организаций, созданных на основании федеральных законов, стратегических предприятий, стратегических акционерных обществ и системообразующих организаций российской экономики, юридических лиц, являющихся субъектами критической информационной инфраструктуры Российской Федерации (далее – органы (организации), что по инициативе Национального координационного центра по компьютерным инцидентам (далее – НКЦКИ) соглашение о взаимодействии с АО «Позитивные технологии» в области обнаружения, предупреждения и ликвидации последствий компьютерных атак в связи с отсутствием взаимодействия по предусмотренным соглашением направлениям расторгнуто с 20 ноября 2024 года», — говорится в официальном сообщении НКЦКИ.

Сообщений о расторжении договоров с другими ИБ-компаниями на сайте НКЦКИ нет.

Пресс-служба Positive Technologies заявила, что расторжение соглашения произошло в плановом порядке, и о нем НКЦКИ уведомил заранее.

«НКЦКИ меняет требования к обязанностям корпоративных центров ГосСОПКА, в связи с этим переподписываются соглашения. На данный момент мы в диалоге с регулятором», — сообщили представители компании ТАСС.

Как обратил внимание Forbes, на время отсутствия соглашения Positive Technologies не может оказывать целый ряд услуг, в том числе, по сути, обеспечивать безопасность объектов критической информационной инфраструктуры (КИИ). Один из источников издания назвал действия НКЦКИ «щелчком по носу компании, которая, возможно, для кого-то стала слишком большой и успешной».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru