Перейти к содержанию

MATA: мультиплатформенные инструменты злоумышленников


Рекомендуемые сообщения

Инструменты, используемые киберпреступниками, постоянно эволюционируют. Очередной тому пример — вредоносный фреймворк MATA, который недавно обнаружили наши эксперты. Злоумышленники использовали его для атак на корпоративные инфраструктуры по всему миру, он мог «работать» с разными операционными системами и обладал широким набором вредоносных инструментов.

Потенциально MATA могли использовать для решения самых разнообразных преступных задач. Однако в тех случаях, которые удалось проанализировать нашим экспертам, злоумышленники пытались обнаружить в инфраструктуре жертвы базы данных клиентов. Кроме того, как минимум в одном случае с помощью MATA распространяли шифровальщик (этому случаю наши эксперты обещают посвятить отдельное исследование).

Сфера интересов злоумышленников была достаточно широка: среди выявленных жертв MATA можно найти представителей разных индустрий — разработчиков ПО, интернет-провайдеров, онлайн-магазины. География атак тоже достаточно обширна: мы обнаружили следы активности этой группы в Польше, Германии, Турции, Корее, Японии и Индии.

Почему MATA — фреймворк

MATA — это не просто некий вредонос с богатым набором возможностей. Это своеобразный конструктор, позволяющий подгружать нужные инструменты по мере необходимости. Начать с того, что MATA может атаковать компьютеры под управлением всех трех самых популярных операционных систем: Windows, Linux и macOS.

Windows

Сначала наши эксперты обнаружили атаки MATA, направленные на машины под управлением Windows. Они происходят в несколько этапов. Сначала на компьютеры жертв попадет загрузчик, который разворачивает своего рода «командный центр» — так называемый «оркестратор». Тот, в свою очередь, скачивает необходимые модули.

В зависимости от особенностей атаки на каждую конкретную цель модули могли загружаться с удаленного HTTP или HTTPS-сервера, из зашифрованного файла на жестком диске или же могли быть переданы через инфраструктуру MataNet по соединению, использующему TLS 1.2. Разнообразные плагины MATA могли:

  • Запускать cmd.exe /c или powershell.exe с дополнительными параметрами и собирать ответы на эти команды.
  • Манипулировать процессами (снимать, создавать и так далее).
  • Проверять наличие TCP-соединения с заданным адресом (или спектром адресов).
  • Создавать HTTP-прокси-сервер, ждущий входящих TCP-соединений.
  • Манипулировать файлами (записывать данные, пересылать, уничтожать содержимое).
  • Инжектировать DLL-файлы в запущенные процессы.
  • Соединяться с удаленными серверами.

Linux и macOS

При дальнейшем расследовании наши эксперты нашли аналогичный набор инструментов и для Linux. В нем кроме Linux-версии оркестратора и плагинов были также легитимная утилита для командной строки Socat и скрипты для эксплуатации уязвимости CVE-2019-3396 в Atlassian Confluence Server. Набор Linux-инструментов несколько отличается от аналога под Windows: в частности, есть дополнительный плагин, при помощи которого MATA пытается установить TCP-соединение через порт 8291 (используется для администрирования устройств под управлением RouterOS ) и порт 8292 (применяется в софте Bloomberg Professional). Если попытка установить соединение успешна, то плагин передает лог на командный сервер. Предположительно эта функция используется для поиска новых целей.

Что касается инструментов для macOS, то они были обнаружены в троянизированном приложении, построенном на базе программы с открытым кодом. По функциональности версия для macOS была практически идентична версии для Linux.

Подробное техническое описание фреймворка вместе с индикаторами компрометации можно найти в блог-посте на сайте Securelist.

Как защититься?

По мнению наших экспертов, фреймворк MATA связан с группировкой Lazarus, и атаки, проводимые с его помощью, — целевые операции для добычи финансов. Эксперты считают, что этот фреймворк будет продолжать развиваться. Поэтому мы рекомендуем даже небольшим компаниям задуматься о применении продвинутых технологий, позволяющих защищаться не только от массовых, но и от сложных угроз. В частности, у нас есть интегрированное решение, объединяющее функции Endpoint Protection Platform (EPP) и Endpoint Detection and Response (EDR) с дополнительными инструментами. Узнать о нем подробнее можно на нашем сайте.

View the full article

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • KL FC Bot
      От KL FC Bot
      Международный женский день отмечают в разных странах мира по-разному, но в этот день к женщинам, вне зависимости от их происхождения, уровня заработка или политических убеждений, приковано внимание всего мира — и, разумеется, мошенников. Предпраздничная лихорадка для злоумышленников — отличный повод заработать, и вот они с утроенной скоростью отправляют ссылки на поддельные сайты, генерируют сотни тысяч фейковых промокодов и обещают ценные подарки за любую покупку.
      Сегодня расскажем, как женщинам не попасться на удочку мошенников накануне праздника.
      Фейковые подарки от маркетплейсов
      Согласно статистике, женщины куда чаще мужчин закупаются в онлайн-маркетплейсах: 43% против 32%. По той же причине женщины чаще становятся целью промокампаний, которых в преддверии любого праздника становится невероятно много. К сожалению, эти кампании далеко не всегда легальны и организованы теми брендами, от лица которых рассылаются предложения неслыханной щедрости.
      Уже несколько лет подряд накануне 8 Марта девушки получают сообщения в WhatsApp якобы от Amazon с предложением получить ценный подарок: «Розыгрыш призов от Amazon в честь праздника — более 10 000 бесплатных товаров!». Для участия в акции нужно пройти по ссылке и заполнить небольшой опрос, а после разослать сообщение нескольким десяткам друзей и подтвердить свою личность по электронной почте. Конечно же, заполнившие опрос не получают ни модных смартфонов, ни фенов для сушки волос, ни ноутбуков. Вместо этого, как отмечают исследователи, устройства жертв могли быть скомпрометированы: злоумышленники могли получить доступ к камере, микрофону, банковским приложениям, контактам и галерее.
      При этом многие бренды на самом деле активно используют мессенджеры и почту для распространения акционных предложений, и Amazon не исключение. Поэтому, если вам пришло подобное сообщение, сначала проверьте его: особенное щедрое предложение, наличие грамматических ошибок, странный адрес отправителя и призывы срочно перейти по ссылке, «пока все не закончилось», могут означать, что оно отправлено злоумышленниками. Помните правила безопасного онлайн-шопинга и используйте надежную защиту, чтобы быть уверенными, что вы действительно переходите на официальный сайт, а не на его подделку.
       
      Посмотреть статью полностью
    • KL FC Bot
      От KL FC Bot
      Взрывной рост приложений, сервисов и плагинов для работы с искусственным интеллектом (ИИ), произошедший в прошлом году, очевидно, будет лишь ускоряться. ИИ внедряют в давно привычные инструменты — от офисных программ и графических редакторов до сред разработки вроде Visual Studio. Все, кому не лень, создают тысячи новых приложений, обращающихся к крупнейшим ИИ-моделям. Но в этой гонке пока никто не сумел решить проблемы безопасности — не организовать полноценную защиту от футуристического «злого ИИ», а хотя бы минимизировать проблемы с утечкой конфиденциальных данных или выполнением хакерских действий на ваших аккаунтах и устройствах через разнообразные ИИ-инструменты. Пока не придумано готовых коробочных решений для защиты пользователей ИИ-ассистентов, придется кое-чему подучиться и помочь себе самостоятельно.
      Итак, как воспользоваться ИИ и не пожалеть об этом?
      Фильтруйте важные данные
      Политика конфиденциальности OpenAI, компании-разработчика ChatGPT, вполне недвусмысленно уведомляет, что все диалоги с чат-ботом сохраняются и могут быть использованы для нескольких целей. Во-первых, для решения технических проблем или работы с нарушениями: вдруг кому-нибудь — удивительно! — придет в голову сгенерировать недопустимый контент? В этом случае чаты может даже посмотреть живой человек. Во-вторых, эти данные могут быть использованы для обучения новых версий GPT и других «усовершенствований продукта».
      Большинство других популярных языковых моделей, будь то Bard от Google, Claude или разновидности ChatGPT от Microsoft (Bing, Copilot и так далее), имеют схожие политики: все они могут сохранять диалоги целиком.
       
      Посмотреть статью полностью
    • KL FC Bot
      От KL FC Bot
      Многие уже опробовали генеративные нейросети и нашли им регулярное применение, в том числе на работе. Так, ChatGPT и его аналоги периодически используют почти 60% американцев (и далеко не всегда — с разрешения начальства). При этом все данные — как запросы пользователя, так и ответы модели — сохраняются на серверах OpenAI, Google и других. Для задач, в которых подобная утечка информации неприемлема, отказываться от ИИ вовсе не обязательно — просто нужно приложить некоторые усилия (и, возможно вложить деньги) и запускать нейросеть локально, на собственном компьютере. Сегодня это возможно даже на ноутбуках!
      Угроза из облака
      Самые популярные ИИ-помощники работают в облачной инфраструктуре крупнейших компаний. Это эффективно и быстро, но ваши данные, обрабатываемые моделью, могут быть доступны как самому провайдеру ИИ-услуг, так и совсем посторонним лицам, как это случилось в прошлом году с ChatGPT.
      Угрозы от подобных инцидентов зависят от того, для каких целей применяются ИИ-помощники. Если вы генерируете милые иллюстрации к сказкам собственного сочинения или просите у ChatGPT составить план трехдневной экскурсионной поездки в столицу, вряд ли утечка сможет нанести вам серьезный ущерб. Если ваша переписка с чат-ботом потенциально может содержать конфиденциальные фрагменты — персональные данные, пароли или номера банковских карт, — допускать утечку в облако уже нельзя. Но ее относительно легко предотвратить, предварительно отфильтровав данные, и об этом у нас есть отдельный пост.
      А вот в случаях, когда либо вся переписка конфиденциальна (например, медицинская или финансовая информация), либо же надежность предварительной фильтрации сомнительна (нужно обрабатывать большие объемы данных, которые никто не будет предварительно отсматривать и фильтровать), выход только один — перенести обработку из облака на локальный компьютер. Конечно, запустить свою версию ChatGPT или Midjourney без Интернета вряд ли удастся, но другие нейросети, работающие локально, дают сравнимое качество при меньшей вычислительной нагрузке.
       
      Посмотреть статью полностью
    • Александр 2023
      От Александр 2023
      Здравствуйте!
       
      1. Подскажите пожалуйста какой параметр нужно выставлять в параметрах командной строки для утилит  psshutdown.exe или shutdown.exe во внешних инструментах сервера администрирования,  чтобы они понимали что нужно применять команду именно к тому хосту, в контекстном меню которого этот инструмент (например перезагрузка или выключение) вызывается. Ведь у самих утилит свой синтаксис для указания хостов конкретно по имени. А если не указывать параметров указывающих хост вообще, в перезагрузку или выключение наверное уйдёт сам сервер администрирования .  Какие-то переменные же наверное должны быть
       
      2. Обязательна ли во внешних инструментах авторизация с правами админа (домена или локального админа того хоста) или можно как-то указать параметр чтобы выключение перезагрузка выполнялась "от имени"  агента администрирования?
       
      Ведь для для организации решения проблемы перезагрузки/выключения хостов через создание задачи (через тот же батник shutdown.exe) хватает прав самого агента администрирования.
      Сеть сложная, не все хосты в домене, и на каждую группу создавать свой внешний (с разным пользователем с правами админа) инструмент муторно.  Решение через задачу работает, но иногда хочется по быстрому перезагрузить или выключить отдельный хост.
       
       
    • Павел125
      От Павел125
      1. Windows 10. Какие файлы нужно копировать и чем(far manager)?
      2. Под чем загружаться(Kaspersky Rescue Disk , среда восстановления windows 10)?
×
×
  • Создать...