Dark Caracal и новый бэкдор Poco RAT: 483 атаки за полгода

Наши коллеги, исследователи Positive Technologies, выявили, что кибергруппировка Dark Caracal, действующая с 2012 года, сменила тактику атак. Если раньше злоумышленники использовали RAT Bandook, то теперь они массово применяют новый бэкдор Poco RAT.
За последние шесть месяцев зафиксировано 483 случая атак с его использованием. Вредоносное ПО распространяется через фишинговые письма, которые содержат файлы-приманки. После их открытия на устройство загружается скрытая программа, обеспечивающая хакерам удалённый доступ.

Как проходит атака?
⏺Жертве приходит письмо, содержащее якобы важный финансовый документ — например, счёт на оплату.
⏺Вложение выглядит правдоподобно, что повышает вероятность его открытия.
⏺После открытия документа автоматически загружается архив в формате .rev с дроппером.
⏺Дроппер устанавливает Poco RAT, не оставляя следов на жестком диске.
⏺Хакеры получают полный контроль над устройством, могут похищать данные, устанавливать другие программы и даже управлять компьютером жертвы.

Кто в зоне риска?
Исследователи отмечают, что атаки ориентированы на испаноязычных пользователей. Большинство случаев заражения зафиксировано в Венесуэле, Чили, Доминиканской Республике и Колумбии.
Однако методы атак, используемые Dark Caracal, могут быть легко адаптированы для других регионов и аудиторий, поэтому риск заражения существует и за пределами этих стран.

Почему это опасно?
⏺Dark Caracal — это не просто хакеры, а группировка, работающая по заказу. Они атакуют правительственные учреждения, журналистов, военные структуры, коммерческие организации и отдельных пользователей.
⏺Количество атак растёт — если с Bandook зафиксировали 355 атак за полтора года, то Poco RAT был использован 483 раза всего за шесть месяцев. Это говорит о переходе на массовые фишинговые кампании.

Как защититься?
⏺Не открывайте подозрительные вложения — даже если документ выглядит легитимно, лучше перепроверить его перед скачиванием.
⏺Используйте двухфакторную аутентификацию — это усложнит злоумышленникам доступ к вашим данным.
⏺Обновляйте антивирус и операционную систему — новые обновления помогают обнаруживать и блокировать такие угрозы.

Расскажите об этом своим друзьям и коллегам — киберугрозы касаются каждого.

#Новости

🗣QR-коды: удобство или ловушка?

QR-коды давно стали частью повседневной жизни. Их используют магазины, кафе, транспортные компании и даже госучреждения. Они помогают быстро перейти на нужный сайт или оплатить покупку. Но за этим удобством скрывается серьезная опасность.

Что не так с QR-кодами?
Обычную ссылку можно изучить: посмотреть адрес, проверить, нет ли подозрительных символов или лишних знаков. QR-код же скрывает эту информацию. Вы просто сканируете его и попадаете на сайт, не зная заранее, безопасен ли он. Этим пользуются мошенники.

Реальная история: мошенничество в подъездах
В Рязани мошенники расклеили в подъездах объявления о «замене домофона». Жителям предлагалось отсканировать QR-код, чтобы оставить заявку на новый ключ.
После сканирования человек попадал на сайт, где нужно было ввести данные банковской карты для «подтверждения личности». Жильцы верили, вводили информацию — и лишались денег. Вернуть их не удавалось, потому что перевод совершался добровольно.

Как работают мошенники?
QR-код сам по себе — это просто инструмент. Но в руках преступников он превращается в мощное оружие. Основные схемы мошенничества:
⏺Фишинг. QR-код ведет на поддельный сайт, который выглядит как настоящий. Человек вводит там логин, пароль или данные карты, думая, что это безопасный сервис.
⏺Вредоносные приложения. Ссылка в QR-коде предлагает установить приложение, которое заражает телефон вирусами.

Как защититься?
⏺Проверяйте источник. Если QR-код наклеен на стену или столб, будьте осторожны. В общественных местах мошенники могут заменить оригинальный код своим.
⏺Используйте предпросмотр ссылок. Многие современные телефоны показывают адрес перед переходом. Если ссылка выглядит странно, не открывайте ее.
⏺Не устанавливайте приложения по QR-коду. Скачивайте программы только через официальные магазины — Google Play или App Store.
⏺Не вводите личные данные. Если после сканирования вас просят указать пароль, номер карты или другую чувствительную информацию — это повод насторожиться.
⏺Используйте антивирус. Современные мобильные антивирусы могут блокировать вредоносные ссылки и приложения.

#ИнсайдДня

Cybersecurity Meetup #5 – РТ-Информационная безопасность в гостях у BI.ZONE

26 февраля команда РТ-Информационная безопасность отправилась на митап к друзьям из BI.ZONE, чтобы обсудить, как автоматизация и искусственный интеллект меняют работу SOC-аналитиков.

Артём Сычев, первый заместитель генерального директора РТ-Информационная безопасность, и Дмитрий Невструев, руководитель направления развития сервисов SOC, представили доклад:
🗣«От скриптов к искусственному интеллекту: эволюция автоматизации RT Protect SOC»

Обсудили три главных вопроса:
⏺Как уйти от рутины и ускорить обработку инцидентов?
⏺Как обуздать поток алертов и сосредоточиться на главном?
⏺Как заставить ИИ работать на аналитиков, а не наоборот?

Технологии не стоят на месте – а вы?
Если пропустили митап, самое время разобраться в теме! Будущее SOC уже здесь.

🟡Eleven11bot: киберзахватчик IoT-устройств

Исследователи в области кибербезопасности сообщили о распространении нового ботнета Eleven11bot, который уже заразил более 86 000 устройств по всему миру. В основном это IP-камеры и сетевые видеорегистраторы (NVR), которые после заражения используются для масштабных DDoS-атак.

Как действует Eleven11bot?
Анализ трафика выявил, что атаки ботнета могут достигать сотен миллионов пакетов в секунду и продолжаться в течение нескольких суток.
Эксперты предполагают, что ботнет связан с хакерами из Ирана. Наибольшее число заражённых устройств обнаружено в США, Великобритании, Мексике, Канаде и Австралии.
Всего зафиксировано более 1400 вредоносных IP-адресов, большинство из которых принадлежит реальным устройствам.

Как происходит заражение?
Распространение Eleven11bot происходит через:
⏺Подбор слабых паролей.
⏺Использование стандартных учётных данных.
⏺Сканирование сетей на открытые порты Telnet и SSH.

Эксперты РТ-Информационная безопасность рекомендуют:
⏺Использовать сложные пароли: не менее 12-16 символов с применение заглавных и строчных букв, цифр и специальных символов.
⏺Регулярно обновлять прошивки IoT-устройств.
⏺Проверить список заражённых IP-адресов и заблокировать их в настройках сети.

#Новости

KillChain: начало

Представьте: в сети компании появился злоумышленник. Он действует скрытно, шаг за шагом приближаясь к своей цели — компрометация контроллера домена. Но есть одно «но» — RT Protect EDR наблюдает за каждым его движением.

🗣Привет, я Андрей Федоров, аналитик направления мониторинга и реагирования RT Protect SOC. Мы начинаем серию постов с разбором атаки в реальном времени: проследим за действиями хакера и посмотрим, как RT Protect EDR реагирует на угрозу.

Две стороны одной атаки
⏺Как мыслит злоумышленник? Какие инструменты он использует? Как он обходит защиту?
⏺Что видит RT Protect EDR? Какие действия хакера фиксирует? В какой момент атака становится очевидной?

Этапы атаки:
Этап 0 — Получение информации и подготовка к атаке
Этап 1 — Получение первоначального доступа
Этап 2 — Закрепление и отключение средств защиты
Этап 3 — Получение учетных данных пользователя
Этап 4 — Получение информации об инфраструктуре
Этап 5 — Повышение привилегий и последующее перемещение
Этап 6 — Нанесение ущерба

Для чистоты эксперимента EDR будет работать в режиме «только детектирование» — система будет фиксировать угрозу, но не блокировать ее.

Сможет ли злоумышленник пройти все этапы атаки и достичь своей цели, оставаясь незамеченным? Или система защиты выявит и остановит его раньше?

Подписывайтесь, чтобы не пропустить разбор каждого этапа!

#KillChain

👾 Мы знаем, где находится ваша уязвимость

Кибератаки не начинаются со взлома — они начинаются с разведки.
Хакеры ищут слабые места в цифровой инфраструктуре компаний: забытые поддомены, открытые порты, устаревшие сервисы. Они анализируют, где проще пробить защиту.
Вопрос в том, кто первым заметит брешь: вы или они?

Что делает RT Protect EASM?
1️⃣ Инвентаризирует и отслеживает внешние активы компании
2️⃣ Анализирует уязвимости и предупреждает о рисках 24/7
3️⃣ Обнаруживает фишинговые домены
4️⃣ Находит утечки и упоминания на хакерских форумах

Как это работает?
RT Protect EASM использует:
📎Пассивное и активное сканирование — находит поддомены, IP-адреса, открытые порты, сервисы
📎Анализ веб-сервисов — выявляет уязвимости и устаревшие компоненты
📎Брутфорс — перебор директорий на сайте и dns имён

Теперь не нужно вручную проверять десятки инструментов и мониторить теневые форумы. RT Protect EASM сделает это за вас.

Среднему бизнесу он помогает сократить нагрузку на специалистов ИБ, а крупным компаниям — закрывать уязвимости раньше, чем их найдут злоумышленники.

#Техноразбор #RT_Protect_EASM

Darkside Inc. Преступный бизнес

В августе 2020 года в даркнете появился необычный пресс-релиз. Группа, представившаяся как Darkside Inc., анонсировала запуск своего продукта — Ransomware-as-a-Service (RaaS), платформы для проведения атак с использованием программ-вымогателей.
Уже в октябре они начали предлагать своим «партнерам» воспользоваться их инструментами и получать процент от выкупа. Всё выглядело так, будто речь идет не о киберпреступниках, а о легальном IT-стартапе.

Что делает их опасными?
Darkside работает не хаотично, а продуманно и методично:
📎Выбирают жертву. Они анализируют финансовые отчёты компаний, оценивают платёжеспособность и атакуют тех, кто может заплатить.
📎Избегают атак на больницы, школы и некоммерческие организации. Они позиционируют себя как «этичные» преступники, но это не мешает им требовать многомиллионные выкупы.
📎Предоставляют «службу поддержки» жертвам. Взломанные компании могут обратиться к ним через веб-чат, чтобы «обсудить условия».
📎Удаляют резервные копии. Если у вас есть бэкапы, но они хранятся в той же сети, их просто стирают перед атакой.

Один из «партнёров» RaaS стал виновником атаки на Colonial Pipeline, крупнейшую трубопроводную систему в США, что привело к приостановке работы нефтепровода и введению режима чрезвычайной ситуации. В результате хакеры получили выкуп в размере 4,4 миллиона долларов в криптовалюте.

Как они действуют?
1️⃣ Внедрение
Они проникают в сеть через фишинговые письма, слабые пароли, украденные учетные данные или уязвимости в системах.
2️⃣ Закрепление
Darkside маскирует свои действия:
— Используют клиент RDP, маршрутизированный над TOR, для управления атаками.
— Избегают обнаружения системами защиты, модифицируя записи реестра, останавливая антивирусное ПО и процессы регистрации событий.
— Медленно разворачивают атаку, чтобы не вызвать подозрений.
3️⃣ Шифрование и вымогательство
— Блокируют доступ к данным.
— Стирают резервные копии.
— Оставляют записку с требованием выкупа и контактами.

Почему они избегают российских компаний?
Перед атакой вредоносное ПО проверяет язык системы. Если он русский или принадлежит странам СНГ, вредоносное ПО не запускается.
Возможные причины:
— Связи с русскоязычными хакерскими группами.
— Желание избежать преследования со стороны правоохранительных органов.
— Поиск русскоязычных партнёров.

#ПрофильПреступника

РТ-Информационная безопасность × AM Live

Кибератаки неизбежны. Вопрос в том, как быстро и эффективно вы сможете на них реагировать.

📢 12 марта (среда) в 11:00 (МСК) приглашаем вас на онлайн-конференцию «Реагирование на инциденты в информационной безопасности: процессы и люди».

Вместе с Константином Васильевым, заместителем руководителя RT Protect SOC, разберем, как организовать процесс реагирования и сделать его неотъемлемой частью бизнес-процесса, обсудим формирование, подготовку и обучение команд, а также распределение ответственности и полномочий между департаментами ИТ, ИБ и АСУ ТП.

В программе:
🟡 Как процесс реагирования должен быть формализован в плане?
🟡 Какие типы инцидентов требуют заблаговременного планирования и четкой стратегии реагирования, даже если они пока не произошли?
🟡 Какие ключевые компетенции необходимы членам команды реагирования на инциденты для эффективного выполнения своих обязанностей?
🟡 Как грамотно распределить задачи и полномочия между различными департаментами?
🟡 Какие шаги нужно предпринять, чтобы сотрудники были готовы к быстрому и грамотному реагированию?
🟡 Как повысить точность оценки важности инцидента и определения верного плана реагирования?

📎Присоединяйтесь — регистрация по ссылке.

RT Protect EDR: современная защита вашего бизнеса

Кибератаки больше не ограничиваются вирусами и троянами. Это сложные, продуманные угрозы, которые могут оставаться незамеченными долгое время. RT Protect EDR не просто обнаруживает атаки, он анализирует их поведение, блокирует угрозы и помогает разбираться в инцидентах.

Как работает RT Protect EDR?
1️⃣ Отслеживает аномальную активность и фиксирует попытки вторжения.
2️⃣ Автоматически блокирует угрозы на конечных устройствах.
3️⃣ Анализирует инциденты и собирает цифровые улики для расследования.
4️⃣ Выявляет уязвимости и предупреждает о возможных атаках.

Что делает его эффективным?
📎 Встроенный сканер уязвимостей.
📎 Модуль Anti-Ransomware, предотвращающий шифрование данных.
📎 Терминал удаленного доступа к хосту.
📎 Конвертер Sigma-правил в IoA.
📎 Корреляция событий и синхронное блокирование угроз на всех устройствах.

Кому необходим RT Protect EDR?
🟡 Компаниям, которым важна защита конфиденциальных данных.
🟡 ИТ- и ИБ-отделам, которым нужен полный контроль над безопасностью.
🟡 Бизнесу, который не может позволить себе простои и утечки.

Вопрос не в том, атакуют ли вас, а в том, готовы ли вы защититься.

#RT_Protect_EDR

👾 LithiumWare: крошечный вирус, огромный выкуп

Исследователи в области кибербезопасности обнаружили новый вирус-вымогатель — LithiumWare, который распространяется через открытые источники и представляет серьёзную угрозу пользователям и компаниям.
Несмотря на размер всего 103 КБ, вредоносное ПО обладает мощным функционалом и требует за расшифровку данных выкуп до $900 000.

Как действует вирус?
1️⃣ Шифрует файлы с использованием асимметричных алгоритмов шифрования AES и RSA, делая восстановление без ключа злоумышленников практически невозможным.
2️⃣ Постоянно отслеживает буфер обмена, что позволяет перехватывать криптовалютные переводы, подменяя адреса кошельков.
3️⃣ Удаляет теневые копии файлов и отключает механизмы восстановления Windows.
4️⃣ Изменяет ключи реестра и каталоги автозагрузки для автоматического запуска при включении системы.
5️⃣ Мимикрирует под легитимные приложения и сервисы Windows.
6️⃣ Самостоятельно распространяется во все доступные сетевые директории, а также на съёмные носители, что делает его особенно опасным для корпоративных сред.

❗️Важно: LithiumWare — одна из самых опасных киберугроз последних месяцев. Его возможности делают восстановление данных практически невозможным без уплаты выкупа, поэтому критически важно принять меры защиты заранее.

Эксперты РТ-Информационная безопасность рекомендуют:
📎Не открывать и не запускать файлы, полученные из недоверенных источников.
📎Использовать многофакторную аутентификацию и ограничивать доступ к важным данным.
📎Создавать резервные копии и хранить их в изолированной среде.
📎Обновлять операционную систему и антивирусное ПО до актуальных версий.
📎Использовать RT Protect EDR для выявления аномальной активности.

#Новости

[АРХИВНАЯ ЗАПИСЬ: Эдвард Сноуден]
КЛАССИФИКАЦИЯ: Крупнейшая утечка секретных данных АНБ
ДАТА РАСКРЫТИЯ ИНЦИДЕНТА: 5 июня 2013
ПЕРИОД СБОРА ДАННЫХ: 2009 – 2013
ЧИСЛО ОБНАРОДОВАННЫХ ДОКУМЕНТОВ: 200 тыс. секретных документов

ВЫПИСКА ИЗ ОТЧЕТА
Эдвард Сноуден — бывший сотрудник ЦРУ и АНБ, передавший в 2013 году СМИ секретные документы, обнародовав доказательства массовой слежки за гражданами США и других стран.
Среди утечек оказались подробности о секретных программах АНБ, направленных на глобальный контроль интернет-коммуникаций и телефонных разговоров. Эти документы показали, что США следили не только за потенциальными террористами, но и за обычными людьми, журналистами, бизнесменами, а также за мировыми лидерами, включая канцлера Германии Ангелу Меркель и президентов стран-союзников.

Ключевые разоблачения Сноудена
📎Программа X-Keyscore, которая позволяла АНБ просматривать содержимое электронной почты, чатов, поисковых запросов и других видов онлайн-активности по всему миру.
📎Программа Tempora, которая позволяла британской разведке GCHQ перехватывать и хранить огромные объемы интернет-трафика, проходящего через оптоволоконные кабели.
📎Программа Boundless Informant, которая показывала, сколько данных собирает АНБ по разным странам и регионам.
📎Программа Bullrun, которая позволяла АНБ взламывать защищенные шифрованием коммуникации.
📎Программа Muscular, которая позволяла АНБ и GCHQ взламывать линии связи, соединяющие центры обработки данных Google и Yahoo и копировать их данные.
📎Программа Quantum, которая позволяла АНБ внедрять программное обеспечение для прослушивания и шпионажа в компьютеры и смартфоны целевых лиц и организаций.
📎Программа Fairview, которая позволяла АНБ сотрудничать с американскими телекоммуникационными компаниями для перехвата данных зарубежных граждан.

ПОСЛЕДСТВИЯ
⚫️ Международный скандал. США были вынуждены оправдываться перед союзниками, а отношения с Германией и Францией резко ухудшились.
⚫️ Общественные протесты против слежки, которые привели к обсуждению реформ национальной безопасности.
⚫️ Крупнейшие IT-компании пересмотрели свои подходы к конфиденциальности и усилили защиту данных пользователей.
⚫️ В 2015 году Конгресс США принял Закон о свободе США (USA Freedom Act), который ограничил полномочия АНБ по массовому сбору данных.
⚫️ Сноуден стал международным символом борьбы за цифровые права и приватность.

ХРОНОЛОГИЯ СОБЫТИЙ
Март 2013 — Сноуден принимает решение разоблачить АНБ.
Май 2013 — Покидает США и отправляется в Гонконг, где связывается с журналистами The Guardian и The Washington Post.
5 июня 2013 — Первые разоблачения о программе PRISM публикуются в The Guardian.
21 июня 2013 — США предъявляют Сноудену обвинения в шпионаже и аннулируют его паспорт.
23 июня 2013 — Сноуден вылетает в Москву, планируя добраться до Латинской Америки, но застревает в транзитной зоне аэропорта Шереметьево из-за аннулированного паспорта.
Август 2013 — Россия предоставляет Сноудену временное убежище.
2017 — Получает право на постоянное проживание в России.
2020 — Эдварду Сноудену предоставляют российское гражданство.

РЕКОМЕНДАЦИИ
1️⃣ Старайтесь использовать только то программное обеспечение, которому вы доверяете.
2️⃣ Следите за разрешениями приложений — многие программы получают доступ к вашим контактам, микрофону и местоположению.
3️⃣ Отключайте GPS и микрофон, если не используете их.

Документ закрыт. Доступ ограничен.

#Архив