Cреди целей кибершпионов NightEagle появилась Россия
- CNews FORUM 12 ноября
- CNews AWARDS 12 ноября
- Школа Роста
- Российский рынок облаков за 20 лет
- 30 лет рынку ERP в России
- Главные
ИТ-сценарии 2026 - Цифровизация
- Импортозамещение
- Безопасность
- ИТ в госсекторе
- ИТ в банках
- ИТ в торговле
- Телеком
- Интернет
- ИТ-бизнес
- Рейтинги
- Инфографика
|
«Лаборатория Касперского» обнаружила кампанию кибершпионажа группы NightEagle (APT-Q-95) на производственные и строительные предприятия в России. Группа активна с 2023 г. и изначально была нацелена на организации Китая. Это первый случай, когда она атакует компании за пределами Азии. Об этом CNews сообщили представители «Лаборатории Касперского».
Для атаки злоумышленники использовали скомпрометированные учетные записи от корпоративных V*N и размещали бэкдор GhostContainer на серверах Microsoft Exchange. Эксперты «Лаборатории Касперского» полагают, что злоумышленники внедрили вредоносный код непосредственно в оперативную память серверов. Чтобы глубже проникнуть в системы зараженных организаций, группа применяла известные легитимные инструменты, в частности, GitHub и туннели разработки Microsoft. В конечном счете NightEagle получала контроль над всей ИТ-инфраструктурой жертвы.
«Группа NightEagle расширяет географию атак, для чего обновляет свои методы и использует новые техники закрепления и продвижения в инфраструктуре. Отличительная особенность этой кампании в том, что злоумышленники очень активно эксплуатируют известные легитимные инструменты и уязвимости в инфраструктуре жертвы против нее самой. Поскольку для перемещения они взаимодействуют с обычными сетевыми службами, в системных журналах остаются следы. Своевременно обнаруживая аномалии с помощью решения Kaspersky EDR Expert, специалисты по кибербезопасности могут выявить следы действия этой группы задолго до того, как будет скомпрометирована основная сеть», — сказал Станислав Ларинский, специалист глобальной команды «Лаборатории Касперского» по реагированию на киберинциденты.
Продукты «Лаборатории Касперского» детектируют бэкдор GhostContainer вердиктом Trojan.MSIL.GhostContainer.gen.
Рекомендации «Лаборатории Касперского» организациям для защиты от подобных киберугроз
Ввести обязательную многофакторную аутентификацию для всех учетных записей V*N и администраторов, отключить неиспользуемые профили и проводить проверку входов в систему, осуществляемых через сервисы анонимизации или неизвестных хостинг-провайдеров.
Установить исправления для внутренних систем, поскольку злоумышленники воспользовались уязвимостями, существовавшими в инфраструктуре организации уже несколько лет. Установите обновления безопасности везде, выведите из эксплуатации системы, для которых больше не предоставляется поддержка, и ограничьте доступ к удаленному рабочему столу только контролируемыми административными хостами.
Выявлять скрытые действия на конечных устройствах.
Отслеживать сетевой трафик.
Проверять подозрительные файлы.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.