SolarWinds

Голландский исследователь (или исследовательница, их там хрен поймешь с этим дайверсити) VriesHd выложил результаты своего анализа более 200 тыс. поддоменов avsvmcloud .com, использовавшегося в ходе атаки Sunburst на американского IT-разработчика SolarWinds.

Напомним, что бэкдор Sunburst шифровал собранные сведения о зараженной сети и передавал их управляющему центру в виде DNS-запросов. Таким образом, расшифровав эти данные можно попробовать получить информацию о предполагаемой жертве.

VriesHd отбросил "белый шум", расшифровал данные, в том числе с использованием ранее созданных для этих целей инструментов инфосек вендоров FireEye, QiAnXin и NETRESEC, и получил информацию в отношении порядка 35 тыс. жертв, которые были заражены Sunburst. Несколько российских доменов в нем нашли - к примеру detmir-group .ru или bristolcapital .ru.

Конечно, этот список не окончательный и если домена компании, использующей SolarWinds Orion, в нем нет, то из этого автоматически не следует, что она не была заражена.