- Регистрация
- 26.10.16
- Сообщения
- 2,233
- Онлайн
- 38д 4ч 33м
- Сделки
- 251
- Нарушения
- 0 / 0
По словам экспертов, цепочки атак группы предназначены для обхода решений безопасности при развертывании вредоносных программ непосредственно в памяти. Злоумышленники хорошо осведомлены о безопасности операций, они могут тщательно сегментировать инфраструктуру для каждой жертвы и быстро применять контрмеры при наличии решений безопасности.
SentinelLabs обнаружила две вредоносные программы для Windows «metaMain» и «Mafalda», а также доказательства существования дополнительного импланта Linux. Злоумышленники использовали инструмент отладки Windows «cdb.exe» для расшифровки и загрузки обеих вредоносных программ в память.
Mafalda — это универсальный имплантат, который принимает до 67 команд, а его многоуровневая обфускация затрудняет детальный анализ. Команды включают:
- операции с файлами;
- чтение содержимого каталогов;
- манипулирование реестром;
- разведку сети и системы;
- передачу данных на сервер управления и контроля (C&C).
Анализ инфраструктуры C2 показал, что Metador использует один внешний IP-адрес для каждой сети жертвы, который используется для управления и контроля либо через HTTP (metaMain, Mafalda), либо через необработанный TCP (Mafalda). Во всех атаках серверы C&C размещались у голландского хостинг-провайдера LITESERVER.
Эксперты не могут приписать эту деятельность какой-либо существующей APT-группе, но утверждают, что за атаками может стоять высококвалифицированный специалист, который сотрудничает с Metador.