Поиск

Хакерская группировка Sandworm, предположительно связанная с правительством РФ, совершила серию кибератак на ряд немецких СМИ, а также организацию, занимающуюся исследованиями в области химического оружия. Об этом сообщила Федеральная служба защиты конституции Германии (Bundesamt fur Verfassungsschutz). По словам представителей ведомства, в ходе фишинговой кампании, длившейся в период с августа 2017 года по июнь 2018 года, злоумышленники рассылали по электронной почте письма, содержащие вредоносные документы Microsoft Word. После того как жертва отрывала документ, на ее устройстве выполнялся вредоносный макрос, позволяющий хакерам выполнять произвольные команды PowerShell. Хакерская группировка Sandworm, также известная как BlackEnergy, TeleBots, Electrum, TEMP.Noble и Quedagh активна по меньшей мере с 2007 года. Несмотря на то, что группировка приобрела известность в 2014 году после атак на НАТО и правительственные организации, в ходе которых эксплуатировалась уязвимость нулевого дня (CVE-2014-4114) в Windows, в основном она знаменита атаками на промышленную инфраструктуру Украины.

Исследователи безопасности из компании Group-IB сообщили подробности о деятельности хакерской группировки Cobalt. Несмотря на арест лидера группировки в Испании в марте текущего года, оставшиеся члены продолжают свою деятельность. В частности, 23 и 28 мая 2018 года Cobalt снова провела серию атак на банки в России, странах СНГ и зарубежные финансовые организации. В ходе вредоносной кампании 23 мая группировка рассылала фишинговые письма от имени крупного производителя антивирусов («Лаборатории Касперского»). Пользователи получили «жалобу» на английском языке о том, что с их компьютеров якобы зафиксирована активность, нарушающая существующее законодательство. Получателю предлагалось ознакомиться со вложенным письмом и предоставить детальные объяснения. Если ответ не поступит в течение 48 часов, «антивирусная компания» угрожала наложить санкции на web-ресурсы получателя. Для скачивания письма необходимо было перейти по ссылке, что приводило к заражению компьютера сотрудника банка. 28 мая 2018 года зафиксирована новая вредоносная рассылка Cobalt. Письмо от имени Центрального Европейского банка с ящика v.constancio@ecb-europa[.]info было разослано по банкам. В письме содержится ссылка на документ 67972318.doc, якобы описывающий финансовые риски. Файл 67972318.doc представлял собой вредоносный документ Word, эксплуатирующий уязвимость CVE-2017-11882. В результате открытия файла и успешной эксплуатации уязвимости происходило заражение и первичное «закрепление» вредоносной программы в системе банка с помощью уникального загрузчика JS-backdoor, являющегося уникальной разработкой Cobalt. «Cobalt по-прежнему активен: участники группы не прекращают атаковать финансовые и другие организации во всем мире. Мы убеждены в том, что коллаборация Cobalt и Anunak, позволившая установить своего рода анти-рекорды этим группам в части реализации наиболее сложных атак, завершившихся выводом сотен миллионов долларов, еще не исчерпала себя», - отметил исследователь Дмитрий Волков.

В конце 2017 года несколько крупных инвесторов криптовалютных бирж Южной Кореи стали жертвами кибератак. Как полагают исследователи кибербезопасности из компании Recorded Future, за атаками стоит хакерская группировка Lazarus Group, предположительно связанная с северокорейским правительством. Как следует из подготовленного исследователями отчета, хакеры атаковали южнокорейские биржи криптовалют и их инвесторов в конце 2017 года. Кибератаки прекратились только перед новогодним выступлением Ким Чен Ына и последующей за ним трансляцией переговоров между Северной и Южной Кореей. В ходе атак хакеры использовали вредоносное ПО, ориентированное на пользователей корейского текстового редактора Hancom Hangul Word Processor. Проанализировав код вредоноса исследователи обнаружили сходство с программой Destover, использовавшейся для атак на Sony Pictures Entertainment в 2014 году. Помимо криптовалютных бирж, Lazarus также атаковали членов южнокорейского студенческого сообщества «Друзья Министерства иностранных дел».