Стоящие за резонансной атакой на SolarWinds
хакеры Nobelium, которых исследователи связывают с российской разведкой, вновь в деле.Microsoft Threat Intelligence Center (MSTIC)
сообщили об обнаружении кампании целевого фишинга на 3000 адресов электронной почты более чем 150 организаций гуманитарной и правозащитной направленности в 24 странах, большая часть из которых приходиться на США.
Активность фиксировалась еще в январе 2021 года и
постепенно превратилась в серию атак, кульминацией которых стала волна фишинга, реализованную через взломанный аккаунт, используемый Агентством США по международному развитию (USAID) на платформе электронного маркетинга Constant Contact.
В письмах утверждалось, что
это предупреждение USAID о публикации экс-президентом США Дональдом Трампом новых документов о «фальсификации выборов», которые, по утверждению Трампа, имели место, когда он проиграл кампанию президенту Джо Байдену.
Преследуя цель получения доступ к проверенным поставщикам технологий и заражения их клиентов, Nobelium (
или как их еще именуют APT29, UNC2452, SolarStorm, StellarParticle и Dark Halo)
существенно увеличили эффективность своих атак, совместив обновления программного обеспечения и сервисы массовых поставщиков электронной почты.Именно они и позволили хакерам успешно распространить фишинговые письма с ссылками,
при нажатии на которую доставляется вредоносный файл образа ICA-declass.iso для введения пользовательского имплантата Cobalt Strike Beacon, получившего название NativeZone («Documents.dll»). Этот бэкдор реализует постоянный доступ, боковое перемещение, эксфильтрацию данных и установку дополнительных вредоносных ПО. В случае, если базовой операционной системой оказалась iOS, жертва перенаправлялась на второй удаленный сервер для отправки эксплойта для тогда еще нулевого дня CVE-2021-1879. Несмотря на то, что Apple устранила этот недостаток 26 марта, в компании признали, что «эта проблема могла быть активно использована».
Volexity
в своем отчете также подтвердили данные MSTIC и сообщили, что
некоторые неправительственные организации (НПО), исследовательские институты, государственные учреждения и международные агентства, расположенные на территории США и Европе, все же были взломаны.Согласно отчёту, исследователи отмечают, что
виртуозность и латентность атак достигается подбором Nobelium уникальной инфраструктуры и схемы инструментов для каждой своей цели. Кроме того,
хакеры начали использовать платформу моделирования злоумышленников с открытым исходным кодом Sliver после того, как некоторые из их операций были раскрыты.
Несмотря на оперативную реакцию спецов из Microsoft и Volexity, которые разработали индикаторы компрометации (IoC) для обнаружения пользователями возможных атак,
масштабы операции могут иметь гораздо более широкие контуры, которые, безусловно, станут отдельной темой анонсированных недавно переговоров Президентов США и России в Женеве.
А тем временем, Администрация Джо Байдена получило мощное «ускорение» для реализации амбициозной стратегии по защите национальной инфраструктуры.
Отредактировано: DeC - 30 май 2021 19:11:34
Язык ненависти оказывает сдерживающий эффект на демократический дискурс в онлайн-среде. (c) Еврокомиссия