Хак-группа Turla захватила инфраструктуру старого ботнета Andromeda

[pablo]

Аналитики компании Mandiant сообщили, что русскоязычная кибершпионская группа Turla захватила управляющие серверы старого ботнета Andromeda, закрытого властями и ИБ-специалистами еще в 2017 году. C&C-серверы Andromeda, похоже, использовались Turla для тщательного изучения скомпрометированных хостов, чтобы найти среди них подходящие для разведывательных и шпионских операций.

Компания Mandiant, принадлежащая Google, отслеживает эту операцию Turla как кластер угроз UNC4210. Исследователи пишут, что захваченные хакерами серверы соответствуют образцам малвари Andromeda (также известной как Gamarue и Wauchos), которые были загружены на VirusTotal еще в 2013 году.

Исследователи объясняют, что участники Turla дождались истечения срока регистрации ряда доменов и захватили часть старой инфраструктуры ботнета, ликвидированного еще в 2017 году. Напомню, что тогда ботнет закрывали буквально всем миром. В совместной операции приняли участие ФБР, Интерпол, киберподразделение Европола (EC3), Евроюст, Объединенная целевая группа по борьбе с киберпреступностью (J-CAT), а также правоохранительные органы Германии. Частный сектор, в свою очередь, представляли специалисты компаний Microsoft, ESET, Registrar of Last Resort, а также ICANN, FKIE, BSI и многие другие.

«Еще в сентябре 2022 года UNC4210 перерегистрировала как минимум три C&C-домена ANDROMEDA после истечения срока их регистрации и начала профилирование жертв для выборочного развертывания KOPILUWAK и QUIETCANARY», — рассказывают специалисты Mandiant.

Таким образом, Mandiant полагает, что Turla использует старые заражения Andromeda в качестве механизма для распространения собственных вредоносов, а также может воспользоваться тем фактом, что Andromeda могла распространяться через зараженные USB-накопители.

«Вредоносное ПО, распространяющееся через USB, по-прежнему является полезным вектором для получения первоначального доступа к сетям организаций, — отмечается в отчете. — Поскольку старое вредоносное ПО ANDROMEDA продолжает распространяться посредством скомпрометированных USB-устройств, перерегистрированные домены представляют опасность, поскольку новые злоумышленники могут взять их под контроль и доставить новые вредоносные программы жертвам».

К примеру, в одном инциденте, проанализированном аналитиками Mandiant, зараженный USB-накопитель был использован на машине неназванной украинской организации в декабре 2021 года. Это привело к развертыванию устаревшей версии Andromeda на хосте при запуске файла вредоносной ссылки (.LNK), маскировавшейся под папку на USB-накопителе.

Так как злоумышленники использовали один из захваченных в январе 2022 года доменов (которые раньше являлись частью инфраструктуры ботента) для профилирования жертв, управляющий сервер передал на эту зараженную машину дроппер KOPILUWAK, JavaScript-утилиту для проведения сетевой разведки.

Двумя днями позже, 8 сентября 2022 года, атака перешла в заключительную фазу с внедрением малвари QUIETCANARY (также известной под названием Tunnus), что в итоге привело к хищению файлов из системы жертвы.

«Эта новая техника захвата просроченных доменов, используемая широко распространенными, финансово мотивированными вредоносными программами, может обеспечить вторичную компрометацию широкого круга организаций. Кроме того, старые вредоносные программы и их инфраструктура могут быть упущены из виду защитниками, занимающимися сортировкой различных предупреждений», — предупредили специалисты.

 

[Bosh]

waahoo сколько лет? сколько зим? а ты все еще популярен)

 

[Marco van Basten]

Всем миром закрывали закрывали, и не закрыли)

 

[moneytype]

легенда

 

[waahoo]

К примеру, в одном инциденте, проанализированном аналитиками Mandiant, зараженный USB-накопитель был использован на машине неназванной украинской организации в декабре 2021 года.

Вата ватная.
- Андромеда никогда не распространялась через USB, ни в одной из версий небыло такого функционала.
- Андромеда не работала на RU, BY, UA и KZ машинах. При чем тут Украина? Повесточка такая модная?

Захват старых доменов. Это насколько нужно быть конченным, чтоб ждать отстук с бота спустя 7 лет? Если мне не изменяет память, то в 2016 году я объявил о закрытии проекта, все продажи были остановлены, билдер еще работал какое-то время.
Потом приняли Ареса и билдер оказался в руках ФБР, Интерпола, киберподразделения Европола (EC3), Евроюста, Объединенной целевой группе по борьбе с киберпреступностью (J-CAT), а также правоохранительных органов Германии, а также частного сектора, в свою очередь, представленным специалистами компаний Microsoft, ESET, Registrar of Last Resort, а также ICANN, FKIE, BSI и многих других...
А что там дальше было одному Mandiant'y известно.

 

[Desoxyn]

билдер оказался в руках ФБР, Интерпола, киберподразделения Европола (EC3), Евроюста, Объединенной целевой группе по борьбе с киберпреступностью (J-CAT), а также правоохранительных органов Германии, а также частного сектора, в свою очередь, представленным специалистами компаний Microsoft, ESET, Registrar of Last Resort, а также ICANN, FKIE, BSI и многих других...

Т.е., по факту, это проёб этих всех структур и компаний, медийная утка, или относительно скоро можно будет приобрести и домены старых, закрытых FBI сервисов (которые с "заглушкой" на индексе)? Я почему то считал, что арестованные властями домены перманентно закрываются для дальнейшей перерегистрации и от освобождения доменного имени по истечению срока. Штош...)))