Кампания началась как минимум в мае и активна на момент публикации.
В ходе исследования мы выявили попытки целенаправленного заражения крупных российских организаций из государственного, энергетического, транспортного, образовательного и логистического секторов, а также промышленности.
🔻Как действуют злоумышленники
В кампании применяется ранее неизвестный сложный инструментарий: загрузчик дополнительных вредоносных компонентов, инструмент для проксирования трафика и запуска новых вредоносных нагрузок, имплант, с помощью которого атакующие могут выполнять команды на заражённой системе, и модуль для очистки файлов журналов ПО ViPNet, который позволяет злоумышленникам скрыть свою активность. В одной из заражённых систем был выявлен новый бэкдор HelloBackdoor, используемый для манипуляций с файловой системой.
Все подробности, детекты и атрибуцию разбираем в новом материале в нашем блоге.
▶️Как защититься
ПО ViPNet не впервые используется для кибератак, поэтому мы советуем:
🟢осуществить мониторинг сетевого трафика по указанным в статье портам, чтобы обнаружить следы заражения;
🟢использовать многоуровневую модель безопасности, которая помогает не только обнаруживать, но и предотвращать инциденты подобного класса;
▶️ наши решения определяют данную угрозу как
Trojan.Win32.Agentb.ttoe, Trojan.Win64.Convagent.gen, Trojan.Win64.Agent.smgpqx