Обнаружена сложная кампания кибершпионажа, ориентированная на организации Центральной Азии и Сирии
изображение: recraft
Эксперты Kaspersky GReAT (Глобального центра исследования и анализа угроз «Лаборатории Касперского») выявили сложную кампанию кибершпионажа, нацеленную на государственные и медицинские учреждения, исследовательские институты, правоохранительные органы, поставщиков логистических услуг и объекты городской среды в Афганистане, Кыргызстане, Таджикистане, Узбекистане, Казахстане и Сирии.
В атаках используются два бэкдора, OctLurk и SilkLurk. Это вредоносное ПО, разработанное под конкретное устройство. Перед запуском каждый из бэкдоров ищет определённый параметр целевого устройства — например, серийный номер жёсткого диска или имя компьютера — и использует его в качестве ключа для активации. В любой другой среде вредоносный файл бездействует.
На основании технического анализа со средней степенью уверенности можно утверждать, что за атаками стоит неизвестная китайско-говорящая группа.
«Обнаруженная кампания в очередной раз доказывает, что техники, тактики и процедуры злоумышленников постоянно эволюционируют. Примечательно, что выявленные в ходе исследования бэкдоры не предназначены для массового распространения. Напротив, функциональность каждого из них учитывает особенности конкретного целевого устройства, что делает подобные инструменты менее заметными для традиционных средств защиты. Такой подход повышает эффективность вредоносной активности и может усложнять работу специалистов по информационной безопасности», — комментирует Сергей Ложкин, руководитель Kaspersky GReAT в Азии, Африке и на Ближнем Востоке.
Решения «Лаборатории Касперского», такие как Kaspersky Endpoint Detection and Response Expert, обнаруживают описанную вредоносную активность.
Для защиты от целевых кибератак эксперты «Лаборатории Касперского» рекомендуют компаниям:
- предоставлять ИБ-специалистам свежую информацию о новейших тактиках, техниках и процедурах злоумышленников, например с помощью сервисов Kaspersky Threat Intelligence;
- внедрить систему защиты конечных устройств корпоративного уровня, например Kaspersky Endpoint Detection and Response (EDR) Expert. Это решение отслеживает аномальное поведение и анализирует память процессов, чтобы выявлять скрытые угрозы, оставляющие минимальные следы на жёстком диске;
- в случае нехватки собственных ресурсов внутри компании использовать сервис Kaspersky Managed Detection and Response (MDR), в рамках которого высококвалифицированные эксперты обеспечивают непрерывный, круглосуточный проактивный поиск угроз;
- обеспечивать строгий контроль доступа, регулярно обновлять административные учётные данные и ограничивать количество учётных записей, обладающих привилегиями, необходимыми для создания удалённых запланированных задач или сервисов Windows.
