"Лаборатория Касперского" заявила об обнаружении киберпреступной группировки, якобы связанной с СГБ

[iv65]

"Лаборатория Касперского" заявила об обнаружении киберпреступной группировки, якобы связанной с СГБ

 

"Лаборатория Касперского" заявила об обнаружении киберпреступной группировки, якобы связанной с СГБ

Узбекистан, Ташкент – АН Podrobno.uz. Специалистам компании "Лаборатория Касперского" удалось выявить киберпреступную группировку, предположительно связанную со Службой государственной безопасности Узбекистана (СГБ).

https://podrobno.uz/cat/tehnp/laboratoriya-kasperskogo-zayavila-ob-obnaruzhenii-kiberprestupnoy-gruppirovki-yakoby-svyazannoy-s-sg/

Это удалось сделать благодаря ошибкам, допущенным участниками подразделения, получившего название SandCat, при обеспечении собственной операционной безопасности. В частности, исследователи обнаружили ряд эксплоитов, используемых группировкой, а также вредоносное ПО, находящееся в процессе разработки.

 

Одна из сомнительных практик включала использование "названия военного подразделения, связанного с СГБ" для регистрации домена, задействованного в атаках. Кроме того, участники SandCat установили на компьютер, где разрабатывался новый вредонос, антивирус производства Касперского, что позволило экспертам обнаружить вредоносный код на стадии его создания, пишет издание Motherboard Vice, а также Reuters. 

 

Еще одну ошибку группировка допустила, встроив скриншот с одного из компьютеров в тестовый файл, тем самым раскрыв крупную платформу для атак, которая находилась в разработке. Благодаря всем этим недочетам специалистам удалось выявить четыре эксплоита для уязвимостей нулевого дня, приобретенных SandCat у сторонних брокеров, а также отследить активность не только данной группировки, но и других хакерских групп в Саудовской Аравии и Объединенных Арабских Эмиратах, использующих те же эксплоиты.

 

В ходе проведенного исследования специалисты выявили, что IP-адреса машин, используемых для тестирования вредоносного ПО, связаны с доменом itt.uz, зарегистрированным на военную часть 02616 из Ташкента. Более того, с тех же компьютеров SandCat загружала образцы вредоносов на Virus Total.

 

Впервые эксперты Касперского выявили следы активности SandCat еще в 2018 году, однако в то время у них не было оснований предполагать связь группировки с СГБ. В своих операциях SandCat применяла вредонос под названием Chainshot, который также использовался группировками из Саудовской Аравии и ОАЭ. Однако в атаках SandCat была задействована другая инфраструктура, на основании чего эксперты пришли к выводу, что речь идет о разных преступниках.

 

По мнению экспертов, SandCat приобретала эксплоиты для атак у двух израильских компаний - NSO Group и Candiru. Обе фирмы прекратили поставлять SandCat эксплоиты в 2018 году, в результате группировка занялась разработкой собственного вредоносного ПО.

 

"Эти парни [sandCat] существуют уже давно и до недавнего времени я никогда не слышал о наличии у Узбекистана кибервозможностей. Так что для меня было шоком узнать, что они покупают все эти эксплоиты и атакуют людей, и никто никогда не писал о них", – отметил специалист исследовательской команды Касперского Брайан Бартоломью.