Търсене
Close this search box.

Руски хакери използват функцията Ngrok и експлойта в WinRAR, за да атакуват посолства

След Sandworm и APT28 (известна като Fancy Bear) друга спонсорирана от държавата руска хакерска група – APT29 – използва уязвимостта CVE-2023-38831 в WinRAR за кибератаки.

APT29 се проследява под различни имена (UNC3524,/NobleBaron/Dark Halo/NOBELIUM/Cozy Bear/CozyDuke, SolarStorm) и се насочва към посолски структури с примамка за продажба на автомобили BMW.

Дефектът в сигурността CVE-2023-38831 засяга версиите на WinRAR преди 6.23 и позволява създаването на .RAR и .ZIP архиви, които могат да изпълняват във фонов режим код, подготвен от нападателя за злонамерени цели.

Уязвимостта е използвана като нулев ден от април насам от  заплахи, насочени към форуми за търговия с криптовалути и акции.

Ngrok статичен домейн за прикриване на комуникации

В доклад от тази седмица украинският Съвет за национална сигурност и отбрана (NDSC) казва, че APT29 е използвала злонамерен ZIP архив, който изпълнява скрипт във фонов режим, за да покаже PDF примамка и да изтегли PowerShell код, който изтегля и изпълнява полезен товар.

Зловредният архив се нарича “DIPLOMATIC-CAR-FOR-SALE-BMW.pdf” и е насочен към множество държави на европейския континент, включително Азербайджан, България, Гърция, Румъния и Италия.

APT29 и преди е използвала фишинг примамката за реклама на автомобили BMW, за да се насочи към дипломати в Украйна по време на кампания през май, която достави ISO полезен товар чрез техниката за контрабанда на HTML.

При тези атаки украинската NDSC казва, че APT29 е комбинирала старата фишинг тактика с нова техника, за да осигури комуникация със злонамерения сървър.

NDSC казва, че руските хакери са използвали безплатен статичен домейн на Ngrok (нова функция на Ngrok, обявена на 16 август), за да получат достъп до сървъра за командване и управление (C2), хостван на тяхната инстанция на Ngrok.

“При тази гнусна тактика те използват услугите на Ngrok, като използват безплатни статични домейни, предоставени от Ngrok, обикновено под формата на поддомейн под “ngrok-free.app”. Тези поддомейни действат като дискретни и незабележими точки за среща за техните зловредни товари” – пишат от NDSC .

С помощта на този метод нападателите успяват да скрият дейността си и да комуникират с компрометирани системи, без да рискуват да бъдат открити.

След като изследователи от компанията за киберсигурност Group-IB съобщиха, че уязвимостта CVE-2023-38831 в WinRAR се използва като нулев ден, напредналите  заплахи започнаха да я включват в своите атаки.

Източник: e-security.bg

Подобни публикации

21 май 2024

Arm ще пусне чипове с ИИ през 2025 година

Съобщава се, че базираната в Обединеното кралство компания Arm, еди...
20 май 2024

Атака над ARRL постави радиолюбителите по света...

Американската радиорелейна лига (ARRL) предупреждава, че е претърпя...

Защита на вашите коммити от известни CVEs с Git...

Всички разработчици искат да създават сигурен и надежден софтуер. Т...
20 май 2024

Чрез GitHub и FileZilla се доставя коктейл от ...

Наблюдавана е „многостранна кампания“, при която се зло...
20 май 2024

7 бъга излезли на Pwn2Own все още чакат поправка

Редица сериозни грешки в Windows все още не са навлезли в криминалн...
20 май 2024

Китайци са арестувани за пране на 73 милиона до...

Министерството на правосъдието на САЩ повдигна обвинения на двама а...
20 май 2024

Квантовата навигация може да замени GPS съвсем ...

Британски консорциум, финансиран от правителството на Обединеното к...
19 май 2024

Grandoreiro се завръща по - мощен след прекъсва...

Банковият троянец за Android „Grandoreiro“ се разпростр...
Бъдете социални
Още по темата
20/05/2024

Атака над ARRL постави ради...

Американската радиорелейна лига (ARRL) предупреждава, че...
20/05/2024

Чрез GitHub и FileZilla се ...

Наблюдавана е „многостранна кампания“, при която...
19/05/2024

Grandoreiro се завръща по -...

Банковият троянец за Android „Grandoreiro“ се...
Последно добавени
21/05/2024

Arm ще пусне чипове с ИИ пр...

Съобщава се, че базираната в Обединеното...
20/05/2024

Атака над ARRL постави ради...

Американската радиорелейна лига (ARRL) предупреждава, че...
20/05/2024

Защита на вашите коммити от...

Всички разработчици искат да създават сигурен...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!