Артем Сычев × РБК

📢 Артём Сычев, первый заместитель генерального директора «РТ-Информационная безопасность», рассказал РБК о том, как сегодня меняется мир киберугроз — и как на это отвечает команда РТ-ИБ.

Что обсудили?
1️⃣ Тенденции в мире кибератак и изменения в ландшафте угроз.
2️⃣ Как хакеры используют искусственный интеллект, и как ИИ помогает отражать атаки.
3️⃣ RT Protect AI — инструмент, который помогает как руководителям по безопасности, так и рядовым аналитикам.
4️⃣ Экосистему RT Protect и новые модули решений для быстрого реагирования и выявления компьютерных атак.
5️⃣ Роль Positive Hack Days для компании и отрасли.

Подробности — в интервью для РБК.

Профиль преступника: Sticky Werewolf

Регион активности: Россия и страны Восточной Европы
Способ распространения: почтовая рассылка с вредоносным вложением.
Цели: кибершпионаж и кража конфиденциальной информации, преимущественно учетных данных.

Метод доставки
Атаки начинаются с фишинговых писем:
📎Письма отправляются со скомпрометированных легитимных адресов (в том числе Mail.ru, Yandex)
📎Во вложениях — архивы с паролем, содержащие вредоносные .exe-файлы
📎Атакующие имитируют официальные документы от Министерства труда и социальной защиты, Федеральной службы по техническому и экспортному контролю и многих других.
📎Названия архивов с опасными исполняемыми файлами:

«исх 17-5_9_Д-4398 от 30_07_2024.exe»

«9-72д Меры. Список уязвимостей и принимаемых мер по их устранению.doc.exe»

📎Во всех архивах обнаружен сопутствующий файл Thumbs.db — характерная черта группировки

Цепочка заражения
При запуске исполняемого файла Thumbs.db инициировалась цепочка запуска стадий:
1️⃣ PowerShell-скрипт запускает распаковку архива (NSIS Installer)
2️⃣ Выполняется batch-файл
3️⃣ Финальная стадия — AutoIt-скрипт
4️⃣ Внедрение вредоносного кода в память процесса explorer.exe
5️⃣ Создание автозагрузок и запуск RAT-инструментов:
📎Remcos RAT
📎Quasar RAT
📎Другие

Обновления вредоносной активности
🔒 Используются загрузчики под видом PDF-файлов
🔒 Загрузка вредоносного ПО через GitHub и Bitbucket
🔒 Запуск ВПО через RegAsm.exe и загрузка в память этого же процесса
Обнаруженные инструменты:
📎DarkTrack
📎Lumma
📎Stealc
📎Doubleback

Рекомендации:
1️⃣ Не открывайте вложения от неизвестных или подозрительных отправителей
2️⃣ Используйте EDR и антивирус с анализом поведения
3️⃣ Обновляйте системы безопасности и следите за журналами событий

#ПрофильПреступника