«Лаборатория Касперского» обнаружила кампанию кибершпионажа группы NightEagle (APT-Q-95) на производственные и строительные предприятия в России. Группа активна с 2023 года и изначально была нацелена на организации Китая. Это первый случай, когда она атакует компании за пределами Азии.
Для атаки злоумышленники использовали скомпрометированные учётные записи от корпоративных VPN и размещали бэкдор GhostContainer на серверах Microsoft Exchange. Эксперты «Лаборатории Касперского» полагают, что злоумышленники внедрили вредоносный код непосредственно в оперативную память серверов. Чтобы глубже проникнуть в системы заражённых организаций, группа применяла известные легитимные инструменты, в частности, GitHub и туннели разработки Microsoft. В конечном счёте NightEagle получала контроль над всей ИТ-инфраструктурой жертвы.
«Группа NightEagle расширяет географию атак, для чего обновляет свои методы и использует новые техники закрепления и продвижения в инфраструктуре. Отличительная особенность этой кампании в том, что злоумышленники очень активно эксплуатируют известные легитимные инструменты и уязвимости в инфраструктуре жертвы против неё самой. Поскольку для перемещения они взаимодействуют с обычными сетевыми службами, в системных журналах остаются следы. Своевременно обнаруживая аномалии с помощью решения Kaspersky EDR Expert, специалисты по кибербезопасности могут выявить следы действия этой группы задолго до того, как будет скомпрометирована основная сеть», — комментирует Станислав Ларинский, специалист глобальной команды «Лаборатории Касперского» по реагированию на киберинциденты.
Продукты «Лаборатории Касперского» детектируют бэкдор GhostContainer вердиктом Trojan.MSIL.GhostContainer.gen.
Пресс-релиз подготовлен на основании материала, предоставленного организацией. Информационное агентство AK&M не несет ответственности за содержание пресс-релиза, правовые и иные последствия его опубликования.
