ESET повідомив про виявлення BackdoorDiplomacy
Компанія ESET повідомила про виявлення BackdoorDiplomacy
Компанія ESET повідомила про відкриття нової групи APT BackdoorDiplomacy, яка націлена на міністерства закордонних справ і телекомунікаційні компанії. Для установки спеціального турійського бекдора кіберзлочинці, як правило, використовують вразливі додатки на веб-сервері. Зловмисники можуть ідентифікувати знімні носії, наприклад USB-накопичувачі, і скопіювати їх вміст на основний диск.
Серед цілей групи BackdoorDiplomacy - міністерства закордонних справ декількох країн Африка, а також в Європі, на Близькому Сході та в Азії. Крім того, під прицілом кіберзлочинців опинилися телекомунікаційні компанії Африка і одна благодійна організація на Близькому Сході. У кожному конкретному випадку зловмисники використовували схожу тактику і прийоми, змінюючи інструменти навіть в межах близьких географічних регіонів, що, ймовірно, ускладнювало відстеження шкідливої активності.
"BackdoorDiplomacy використовує спільну тактику і прийоми з іншими групами кіберзлочинців. Зокрема, Турян, ймовірно, є наступною версією кваріанського бекдору, який востаннє використовувався в 2013 році при атаках на дипломатичні цілі в Сирії і США" , - коментує керівник дослідницької лабораторії ESET.
Протокол шифрування мережі Turian практично ідентичний протоколу, який використовується бекдором Whitebird групи Calypso. Whitebird був розгорнутий в мережі дипломатичних організацій Казахстану і Киргизстану одночасно з бекдором BackdoorDiplomacy (2017-2020).
Атаки BackdoorDiplomacy націлені як на системи Windows, так і на Linux. Група кіберзлочинців націлилася на сервери з портами, доступними в Інтернеті, ймовірно, використовуючи недостатню безпеку завантаження файлів або незакріплені вразливості.
Під час деяких атак для збору даних використовувалися виконувані файли, які призначалися для пошуку знімних носіїв (зокрема, USB-накопичувачів). Шкідливий код регулярно сканує диски і, виявивши знімний носій, намагається скопіювати всі доступні файли в захищений паролем архів. Група BackdoorDiplomacy може викрадати системну інформацію , робити скріншоти, а також записувати, переміщати або видаляти файли.
