«Лаборатория Касперского» обнаружила кибератаки на диппредставительства в Центральной Азии с использованием нового буткита
- CNews FORUM 12 ноября
- CNews AWARDS 12 ноября
- Школа Роста
- КИИ в облаке
- 10 лет российского бэкапа
- SDN: Сеть как дом
- История облаков
- 30 лет ERP России
- Цифровизация
- Импортозамещение
- Безопасность
- ИТ в госсекторе
- ИТ в банках
- ИТ в торговле
- Телеком
- ИТ-бизнес
- Рейтинги
|
Эксперты Глобального центра исследования и анализа угроз «Лаборатории Касперского» (Kaspersky GReAT) обнаружили новый буткит BlackX — сложное вредоносное ПО, которое начинает действовать еще до загрузки операционной системы Windows. Злоумышленники применили его в кибератаках на дипломатические учреждения в Центральной Азии, воспользовавшись уже известным недостатком в обновлении безопасности от Microsoft, который был зарегистрирован еще в 2022 г. Об этом CNews сообщили представители «Лаборатории Касперского».
BlackX — сложное вредоносное ПО, разработанное для обхода механизмов защиты процесса загрузки Windows, а также сторонних защитных решений. Буткит позволяет атакующим действовать незаметно и длительное время сохранять доступ к устройствам жертв. Анализ показал, что BlackX представляет собой обновленную и модернизированную версию буткита BlackLotus, который продавался в даркнете еще в 2022 г.
Вредонос способен обходить механизм «Безопасная загрузка» (Secure Boot): он отвечает за то, чтобы при запуске компьютера выполнялось только доверенное программное обеспечение. Для этого злоумышленники используют уже известную уязвимость под названием Baton Drop, зарегистрированную еще в 2022 г. Microsoft уже выпустила для нее исправление, однако для полноценной активации защиты системным администраторам необходимо вручную выполнить ряд настроек. Если организации этого не сделают, их системы остаются уязвимыми, даже если обновление установлено.
Буткит BlackX используется в качестве дополнительного вредоносного ПО: оно позволяет сохранять доступ к зараженным устройствам после того, как злоумышленникам удастся проникнуть во внутренние сети организаций и получить права администратора на компьютерах под управлением Windows. Чтобы скрыть свои действия от ИБ-специалистов, атакующие доставляли компоненты буткита на устройства жертв при помощи зашифрованных файлов, а также специальных программ-установщиков, помогающих избежать обнаружения.
После успешной эксплуатации BlackX устанавливает компонент, предназначенный для отключения защитного ПО. Защита «Лаборатории Касперского» для конечных устройств успешно заблокировала эту попытку — и кибератака была отражена. Если бы злоумышленникам удалось отключить защиту, далее запустилось шпионского ПО, которое использует легитимные облачные сервисы, такие как Google Drive, OneDrive и «Яндекс Диск», чтобы красть конфиденциальную информацию и отслеживать действий жертв.
Эксперты «Лаборатории Касперского» со средней степенью уверенности связывают данную кампанию с китайскоязычной APT-группой APT41, которая атакует организации из разных отраслей.
«Появление BlackX заслуживает особого внимания, поскольку APT-группы редко заимствуют код или концепты — в данном случае буткит BlackLotus — непосредственно у других злоумышленников. Взяв за основу коммерческий вредоносный инструмент, группе удалось обойти механизмы защиты процесса загрузки Windows. Такой гибридный подход показывает, что теперь для скрытого и устойчивого контроля над сетями организаций злоумышленникам необязательно разрабатывать принципиально новые инструменты и методы, даже если они технически хорошо подкованы», — сказал Георгий Кучерин, старший эксперт Kaspersky GReAT.
Для защиты от подобных угроз «Лаборатория Касперского» рекомендует организациям: убедиться, что ИТ-специалисты выполнили ручные действия, рекомендованные Microsoft для устранения Baton Drop и других подобных уязвимостей; ограничивать права администратора для сотрудников; использовать надежные защитные решения, способные отслеживать целостность прошивок.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.