Хакеры почти 1400 дней незаметно следили за российским госучреждением
- Positive Technologies обнаружила в сети российского госведомства следы присутствия хакеров в течение 1398 дней.
- Первые следы проникновения относятся как минимум к апрелю 2022 года; с февраля группировка расширяла влияние через SMB и планировщик задач.
- SilentCOM, TediousLoader и CunningDoor работали только в оперативной памяти, не оставляя файлов на дисках.
Почему это важно: По словам эксперта, столь долгое отсутствие реакции систем мониторинга указывает на серьёзный сбой в защите.
Специалистам по кибербезопасности удалось вскрыть долгую и крайне осторожную операцию хакеров. Злоумышленники научились прятать свои программы так, чтобы те не оставляли никаких файлов на жестких дисках, и выдавали их за стандартные средства защиты.
Случаи взлома корпоративных и государственных сетей давно перестали быть редкостью, и организации тратят огромные ресурсы на свою защиту. Трудность заключается в том, что современные цифровые преступники действуют все аккуратнее. Порой их присутствие в системе обнаруживается лишь спустя годы, когда ущерб уже нанесен или конфиденциальные данные давно утекли.
Изображение — ChatGPT
Эксперты компании Positive Technologies обнаружили в локальной сети одного из российских государственных ведомств следы многолетней активности посторонних. Согласно отчету, взломщики находились внутри инфраструктуры 1398 дней. Даниил Григорян, ведущий эксперт фирмы, подчеркивает: обычно преступники остаются в сетях неделями или месяцами. Столь долгое отсутствие реакции систем мониторинга указывает на серьезный сбой в защите. По словам специалиста, этот инцидент может оказаться лишь фрагментом долгосрочной хакерской операции, поэтому специалистам еще предстоит выяснить, когда на самом деле началось вторжение.
Московские власти выделили 1,65 млрд рублей на программы «Касперского»
Минцифры может ограничить объём зарубежного интернет-трафика для россиян
Первые следы проникновения относят как минимум к апрелю 2022 года. Чтобы оставаться незамеченными, преступники подделывали цифровые подписи и маскировали свои утилиты под легальный софт для обеспечения безопасности. Связь с зараженными компьютерами поддерживалась через специальные служебные каналы операционной системы Windows. С февраля текущего года группировка начала расширять свое влияние, подключив к работе сетевой протокол SMB и встроенный планировщик задач.
Вредоносный арсенал включал в себя программы SilentCOM, TediousLoader и CunningDoor. Их главная особенность в том, что они работают исключительно в оперативной памяти, не сохраняя никаких файлов на жестких дисках. Это делает их невидимыми для большинства стандартных антивирусов. Для закрепления в системе хакеры применили методику COM Hijacking и изменили настройки Time Providers. Благодаря этому вредоносный код автоматически активировался при каждом включении компьютера и успешно обходил защиту.
По мнению специалистов, теперь организации предстоит провести глубокий анализ архивных записей за несколько лет. Такой подход позволит выявить более ранние этапы вторжения и понять полную картину произошедшего.
