Авторы Buhtrap освоили APT-атаки

12 нояб 2015 14:20 #27804 от ICT
Аналитики международной антивирусной компании Eset обнаружили новый вектор кибератаки Buhtrap, нацеленной на российский бизнес. Злоумышленники скомпрометировали дистрибутивы системы удаленного доступа и администрирования Ammyy Admin, сообщили CNews в Eset. Киберкампания «Операция Buhtrap» («ловушка для бухгалтера») была раскрыта Eset весной 2015 г. Атакующие распространяли банковское шпионское ПО, используя фишинговую рассылку и набор вредоносных программ для контроля над зараженным ПК. По данным Eset, 88% жертв атаки — компании из России. В октябре 2015 г. аналитики антивирусной компании обнаружили вредоносную активность на сайте Ammyy Group. Злоумышленникам удалось загрузить на сервер модификацию дистрибутива программы Ammyy Admin, содержащую установщик легитимной программы и вредоносное ПО группы Buhtrap. Скомпрометированный дистрибутив был доступен для загрузки около недели. Buhtrap представляет собой загрузчик (downloader). Он получает список установленного в системе ПО и сайтов, посещенных пользователем. Если система интересна для атакующих, начинается загрузка установочного архива с файлами для кибершпионажа. Вредоносный код позволяет перехватывать нажатия клавиш, получать информацию о смарт-картах и взаимодействовать с удаленным сервером. Несмотря на то, что Ammyy Admin — легитимная программа, она уже использовалась во вредоносных кампаниях. Поэтому некоторые антивирусные продукты, включая Eset NOD32, детектируют ее как потенциально нежелательное приложение. Тем не менее, программный продукт используется корпоративными пользователями в России и других странах. При этом среди клиентов Ammyy Group — российские банки и компании из списка Fortune Global 500, указали в Eset. Между тем, расследование Eset установило, что в октябре-ноябре 2015 г. сайт Ammyy использовался для распространения нескольких семейств вредоносных программ. 26 октября «раздавался» загрузчик трояна Lurk, 29 октября — CoreBot, 30 октября — программа группы Buhtrap, в начале ноября — банковский троян Ranbyus и средство удаленного доступа Netwire RAT. Эти программы не связаны друг с другом, однако фальшивые дистрибутивы Ammyy Admin выполняли одинаковые действия. Можно предположить, что злоумышленники, взломавшие сайт Ammyy Group, предоставляли услуги по распространению вредоносного содержимого разным кибергруппам. Группа Buhtrap осваивает новые методы компрометации корпоративных пользователей. Как и операторы банковского трояна Carbanak, злоумышленники освоили схемы, характерные для таргетированных атак. Использование атак класса watering hole (компрометация сайтов, посещаемых потенциальными жертвами) позволяет характеризовать Buhtrap как АРТ-группировку (Advanced Persistent Threat – «постоянные угрозы повышенной сложности»). Ссылка на источник


  • Сообщений: 103416

  • Пол: Не указан
  • Дата рождения: Неизвестно
  • Пожалуйста Войти или Регистрация, чтобы присоединиться к беседе.

    Похожие статьи

    ТемаРелевантностьДата
    ESET: операция Buhtrap нацелена на российские банки9.85Пятница, 10 апреля 2015
    «Лаборатория Касперского» зафиксировала резкий всплеск атак банковских троянцев Buhtrap и RTM9.54Понедельник, 18 февраля 2019
    Образовательную программу ЕМИАС освоили уже 16,5 тыс. медиков9.3Среда, 25 января 2017
    В «Росэлектронике» освоили выпуск мощных диодов ИК-излучения9.2Четверг, 06 апреля 2017
    ИТ-злоумышленники освоили новый способ быстрого обогащения9.2Пятница, 01 марта 2019
    Киберпреступники освоили технику скрытия вредоносного кода в журнале событий Windows8.92Четверг, 05 мая 2022
    Алтайские онкологи освоили методику пункционной биопсии с помощью виртуальной реальности8.92Понедельник, 27 февраля 2023
    Российские авторы создали альтернативу РАО8.3Четверг, 18 августа 2016
    Российские авторы и правообладатели намерены создать альтернативу РАО8.12Вторник, 05 июля 2016
    Авторы «Холопа» снимут комедию с Буруновым и Харламовым8.12Вторник, 11 августа 2020

    Мы в соц. сетях