Исследователи из Лаборатории Касперского сообщают об активизации атак на российские организации с использованием PhantomDL и DarkWatchman RAT.

В начале июля специалисты заметили две волны целевых почтовых рассылок с вредоносными архивами внутри, которые были адресованы российским организациям, в основном производственной, государственной, финансовой и энергетической отраслей.

Первая волна прошла пятого июля и затронула около 400 пользователей, вторая, более массовая, десятого июля, охватив свыше 550 пользователей.

Причем некоторые письма представляли собой ответ на реальную переписку с контрагентами целевых организаций, что указывает на задействование взломанных почтовых адресов этих контрагентов или ранее украденную переписку.

В качестве полезной нагрузки атакующие распространяли RAR-архив с паролем, который мог находиться во вложении или скачиваться по ссылке на Google Диск в теле письма.

Внутри архива находился документ-приманка, а также одноименная папка, содержащая исполняемый файл, обычно с двойным расширением (например, «Счет-Фактура.pdf .exe»).

Такая структура архива может использоваться для попыток эксплуатации уязвимости CVE-2023-38831, получившей широкое распространение среди злоумышленников.

В случае успешной атаки на устройство жертвы устанавливалось специфичное вредоносное ПО Backdoor.Win64.PhantomDL, написанное на Go и сильно обфусцированное.

PhantomDL впервые был замечен в марте 2024 года, а предшествовал ему PhantomRAT, написанный на .NET. По сути это то же ПО, только на другом языке.

Так же как и его предшественник, PhantomDL применяется в основном для установки и запуска различных утилит категории HackTool и ПО для удаленного администрирования. В данном случае - rsockstun и ngrok для туннелирования трафика, sshpass для доступа к компьютеру по SSH и др.

В отличие от предыдущих версий, использовавших протокол HTTP, коммуникация с С2 в текущей версии бэкдора осуществляется по протоколу RSocket.

Стоит отметить, что аналогичные по оформлению, целям, названиям и формату вложений рассылки наблюдались и ранее с конца апреля по начало июня, однако в них распространялось другое вредоносное ПО - DarkWatchman RAT, которое предоставляет злоумышленникам удаленный доступ к зараженной системе.

По результата анализа применявшегося вредоносного ПО, IoC и TTPs исследователи полагают, что за атаками PhantomDL стоит хакерская группировка, известная как Head Mare.

🌐 Стартап в области кибербезопасности Wiz отклонил сделку с Google на $23 миллиарда

Wiz прекратил переговоры с материнской компанией Google Alphabet.

Ранее стало известно, что Google планировал совершить одну из крупнейших сделок по приобретению компании по кибербезопасности за 23 миллиарда долларов.

👆Компания Wiz была основана в 2020 году четырьмя бывшими израильскими военными, которые до этого были соучредителями компании Adallom, занимающейся облачной кибербезопасностью, которую Microsoft впоследствии приобрела за 320 миллионов долларов.

✋ @Russian_OSINT

🇺🇸 Обновленный учебник по стратегическим кибероперациям (Strategic Cyberspace Operations Primer) для слушателей военного колледжа сухопутных войск США.

Описаны этапы разработки, планирования и проведения операций в киберпространстве боевыми командованиями, объединенными оперативными группами и функциональными компонентами объединенных командований ВС США.

Содержит обзоры действующих концептуальных, доктринальных и руководящих документов в области киберпространства, представлена организация киберподразделений вооруженных сил и других американских ведомств.

@poisk_mil

😞 Сколько людей убивает ransomware?

К сожалению, по этому вопросу набралось достаточно информации, чтобы от изолированных случаев перейти к анализу статистики. Новая научная работа демонстрирует, что при серьёзных кибератаках на больницы смертность среди пациентов растёт примерно на 20%. После некоторых особо масштабных атак смертность росла на 36-55%.

В наибольшей степени страдают пациенты, которые уже проходили лечение к моменту начала кибератаки, потому что новых пациентов как правило обследуют и лечат уже с учётом недоступности некоторых компьютерных систем.
Ключевыми механизмами, снижающими результативность лечения и приводящими к смертям, являются отсутствие доступа к электронным картам пациентов (EHR) и дефицит информации о лекарствах, назначениях и аллергиях, а также невозможность оперативно провести лучевую диагностику и быстро обработать результаты анализов.

Ещё один важный фактор — невозможность принять нового пациента в критическом состоянии, который может просто не дожить до момента, когда скорая помощь привезёт его в другую больницу.

Кажется, киберустойчивость больниц пора выделять в отдельную дисциплину.

#статистика #ransomware @П2Т