Действующие в России шпионы Sticky Werewolf перешли на стеганографию

Действующие в России шпионы Sticky Werewolf перешли на стеганографию

Действующие в России шпионы Sticky Werewolf перешли на стеганографию

Эксперты Positive Technologies обнаружили, что шпионящая в России APT-группа Sticky Werewolf (в PT ее именуют PhaseShifters) начала применять стеганографию для сокрытия загрузки троянов. Нововведение уже засветилось в десятках успешных атак.

Поддельные письма с новым сценарием доставки полезной нагрузки рассылаются в российские госструктуры, НИИ, промышленные компании. Получателя могут попросить ознакомиться с резюме или документом на подпись.

Вложенный архив под паролем содержит файл, при открытии которого отрабатывает скрипт-загрузчик. В результате на машину жертвы из интернета скачивается вредоносный код, спрятанный в картинке или текстовом файле по методу стеганографии.

Целевым зловредом может оказаться инфостилер Rhadamanthys, DarkTrack RAT, Meta Stealer или иной зловред, пригодный для шпионажа. Примечательно, что для их сокрытия Sticky Werewolf использует практически ту же технику, что и TA558, а также UAC-0050, действующая в России, Белоруссии, Молдавии, странах Прибалтики, на Украине и в Польше.

«Мы наблюдаем высокую активность PhaseShifters с весны 2023 года и уже тогда заметили интересные детали, — рассказывает Денис Кувшинов, руководитель TI-департамента PT ESC. — Атаки группировки по техникам идентичны цепочкам атак другой группировки, UAC-0050. Более того, атаки этих группировок проходят с небольшим временным промежутком, то есть злоумышленники одинаково атакуют с разницей в несколько недель. На данный момент мы склоняемся к тому, что UAC-0050 и PhaseShifters — это одна и та же группировка».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

НКЦКИ расторг соглашение с Positive Technologies

Расторжение соглашения между Национальным координационным центром по компьютерным инцидентам (НКЦКИ) и Positive Technologies датировано 20 ноября. Соответствующее сообщение появилось вчера на официальном сайте системы ГосСОПКА.

Решение мотивируется «отсутствием взаимодействия по предусмотренным соглашением направлениям».

Как сообщил представитель НКЦКИ корреспонденту ТАСС, расторжение договора обусловлено «отсутствием взаимодействия по предусмотренным соглашением направлениям».

«Обращаем внимание руководителей федеральных органов исполнительной власти, высших исполнительных органов государственной власти субъектов Российской Федерации, государственных фондов, государственных корпораций (компаний) и иных организаций, созданных на основании федеральных законов, стратегических предприятий, стратегических акционерных обществ и системообразующих организаций российской экономики, юридических лиц, являющихся субъектами критической информационной инфраструктуры Российской Федерации (далее – органы (организации), что по инициативе Национального координационного центра по компьютерным инцидентам (далее – НКЦКИ) соглашение о взаимодействии с АО «Позитивные технологии» в области обнаружения, предупреждения и ликвидации последствий компьютерных атак в связи с отсутствием взаимодействия по предусмотренным соглашением направлениям расторгнуто с 20 ноября 2024 года», — говорится в официальном сообщении НКЦКИ.

Сообщений о расторжении договоров с другими ИБ-компаниями на сайте НКЦКИ нет.

Пресс-служба Positive Technologies заявила, что расторжение соглашения произошло в плановом порядке, и о нем НКЦКИ уведомил заранее.

«НКЦКИ меняет требования к обязанностям корпоративных центров ГосСОПКА, в связи с этим переподписываются соглашения. На данный момент мы в диалоге с регулятором», — сообщили представители компании ТАСС.

Как обратил внимание Forbes, на время отсутствия соглашения Positive Technologies не может оказывать целый ряд услуг, в том числе, по сути, обеспечивать безопасность объектов критической информационной инфраструктуры (КИИ). Один из источников издания назвал действия НКЦКИ «щелчком по носу компании, которая, возможно, для кого-то стала слишком большой и успешной».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru