Троянец Lurk, похитивший 3 млрд рублей, содержался в легитимном ПО

«Лаборатория Касперского» выяснили, что известный троянец Lurk, с помощью которого киберпреступники смогли украсть более 3 миллиардов рублей со счетов клиентов российских банков, попадал на компьютеры жертв вместе с легитимной программой удаленного администрирования Ammyy Admin.

Хакеры использовали особенности подобного ПО, а именно то обстоятельство, что установка программ для удаленного доступа к системе часто сопровождается уведомлением о потенциальном риске со стороны защитных решений. И в данном случае уведомление о наличии зловреда многие пользователи, среди которых были и системные администраторы компаний, могли принять просто за ложное срабатывание антивируса.

По словам специалистов, банковский троянец Lurk распространялся с официального сайта разработчика ammyy.com как минимум с февраля 2016 года. Как оказалось, сайт был скомпрометирован киберпреступниками и загружаемый с него файл-установщик Ammyy Admin по сути представлял собой программу-дроппер, предназначенную для скрытой установки зловреда в системе. Эксперты проинформировали об этом компанию Ammyy Group, после чего вредоносный код с сайта был удален.

Однако в начале апреля 2016 года модифицированная версия троянца Lurk вновь появилась на официальном сайте разработчика Ammyy Admin. На этот раз перед установкой зловред проверял, является ли заражаемый компьютер частью корпоративной сети. И это свидетельствует о том, что злоумышленников интересовали именно корпоративные пользователи и хранимые на их устройствах данные.

1 июня 2016 года стало известно об аресте кибергруппировки, стоящей за Lurk. И в этот же день на сайте ammyy.com был найден новый троянец Fareit, занимавшийся поиском персональной информации пользователей. Как и во всех предыдущих случаях, Ammyy Group удалила зловред со своего сайта. В настоящее время следов вредоносного ПО на сайте ammyy.com не обнаружено.

Автор: Анна Воробьева

1.3K постов 23K подписчик

Обязательно к прочтению для авторов:

1. Если вы добавляете пост, утверждающий об утечке данных или наличии дыр в системе, предоставьте ссылку на источники или технически подкованное расследование. Посты из разряда "Какой-то банк слил данные, потому что мне звонили мошенники" будут выноситься в общую ленту. 2. Все вопросы "Как обезопасить сервер\приложение\устройство" - в лигу "Компьютер это просто".

Обязательно к прочтению для всех:

Добавление ссылки разрешено если она не содержит описание коммерческих (платных) продуктов и/или идентификаторов для отслеживания перехода и для доступа не нужен пароль или оплата в т.ч. интернет-ресурсы, каналы (от 3-х тематических видео), блоги, группы, сообщества, СМИ и т.д.

Запрещены политические holy wars.

По решению модератора или администратора сообщества пользователь будет забанен за:

1. Флуд и оскорбление пользователя, в т.ч. провокация спора, флуда, холивара (высказывание без аргументации о конкретной применимости конкретного решения в конкретной ситуации), требование уже данного ответа, распространение сведений порочащих честь и репутацию, принижающих квалификацию оппонента, переходы на личности.

2. Публикацию поста/комментария не соответствующего тематике сообщества, в том числе обсуждение администраторов и модераторов сообщества, для этого есть специальное сообщество.

3. За обвинение в киберпреступной деятельности.

4. За нарушение прочих Правил Пикабу.

Столько раз в одну и ту же херню "злостные хакеры" троянца засовывают .

Может это их официальная политика?)

Звиздец, а я все ругал хром, который не давал скачать эмми. Все не понимал в чем дело, заранее говорил юзверям чтоб открывали ссылку не через хром. При этом две конторы, в которых я работаю официально пользуют именно эмми! В обеих конторах это бухгалтерии. завтра буду проводить ликбез, как после появления криптолокеров через скрипты офисных документов (вырубил исполнение принудительно на всех компах в сетке).

программка сильно *легче* чем тот же тимвьювер.

у меня каспер не давал его скачать еще с середины 15 года. видимо тогда уже были известны какие-то подробности.

Я знал, что Ammy - жулики! :))) Symantec Endpoint protection меня предупреждал и категорически блокировал их сайт и программу.

Где ссылка на пруф?

какой то дырявый сайт у Ammyy

хотя. как говориться "один раз случайность два раза совпадение три раза закономерность".

Сами наверное все подстроили.

А как узнать, чиста ли та версия Ammy которой я пользуюсь? Есть отличия?

@moskalik - а можно пруфы? Мне для работы надо, сделаю рассылку по офису, чтобы не пользовались этой хренью, а делать рассылку ссылаясь на пикабу - проблем огребу больше чем за потенциально сжизженные деньги ))))

Е мое только вчера ей пользовался.

почему то на сайте касперского нет информации про ammy admin ниразу

а чё Ammyy не смогла бэкдор на сайте закрыть или че? нада проверку в шатате провести у них

Не думаю, что это дерьмо Ammyy ещё кто-то будет качать после этого. Скомпрометировали они себя круто.

А я за LiteManager. Удобно, недорого. (не реклама, если что)

много ей пользуюсь

а чем троян от троянца отличается. всю жизнь было троян а тут троянец. пиздец

а че это за дерьмопрога? если прога для удаленного доступа, то тимвивер намного лучше инфа сотка

Когда слышишь слово "легитимный"

Лето в безопасности

Хороший пароль, надо брать!

Уязвимость государственных веб-сайтов. Как зайти в администраторскую панель с помощью admin admin?

В декабре 2020 году мною были обнаружены уязвимости на государственных веб-сайтах такие как «Законодательство Российской Федерации» и «Мониторинг государственных веб-сайтов».

На веб-сайте «Законодательство Российской Федерации» было обнаружено, что логин и пароль для авторизации в администраторскую панель присвоен стандартный: admin (логин), admin (пароль). Также на этом веб-сайте была обнаружена отражённая XSS уязвимость.

На веб-сайте «Мониторинг государственных веб-сайтов» была обнаружена хранимая XSS уязвимость, которая позволит злоумышленнику перехватить cookie пользователей (в том числе администраторов, которые имеют функционал администрирования веб-сайтом) и пользоваться аккаунтами в своих личных целях!

Также данные уязвимости существуют и на других государственных веб-сайтах!

Новость. Расследование кибератак на разработчиков вакцины Pfizer

Kaspersky обнаружила две сложные атаки группы Lazarus на организации, занимающиеся исследованиями COVID-19. Жертвами инцидентов, в которых применялись продвинутые вредоносные инструменты, стали министерство здравоохранения и фармацевтическая компания в одной из стран Азии, занимающаяся производством и поставками вакцины.

Два Windows-сервера государственного учреждения были скомпрометированы 27 октября с помощью сложной вредоносной программы, известной «Лаборатории Касперского» как wAgent. Заражение производилось по той же схеме, что ранее применялась группой Lazarus для проникновения в сети криптовалютных компаний.

Атака же на производителя вакцины Pfizer, по данным «Лаборатории Касперского», стартовала 25 сентября. Она проводилась с применением зловреда Bookcode, до этого замеченного в атаке на цепочку поставок через компанию, производящую программное обеспечение. Ранее группа Lazarus также использовала методы фишинга и целевой компрометации сайтов.

Оба зловреда представляют собой полнофункциональные бэкдоры, которые позволяют получать контроль над заражённым устройством.

«Эти два инцидента демонстрируют, что Lazarus занимается сбором данных, имеющих отношение к COVID-19, хотя в первую очередь группа известна своими финансовыми интересами. Организаторы сложных атак мыслят стратегически и могут не ограничиваться одним направлением деятельности. Всем компаниям, имеющим отношение к разработке и внедрению вакцины, следует быть максимально готовыми к отражению кибератак», — комментирует Сёнгсу Парк, эксперт по кибербезопасности «Лаборатории Касперского» в азиатском регионе.

Попытки детально изучить деятельность группировки предпринимались многими компаниями и ранее. Но, как правило, они был сосредоточены на анализе хакерских инструментов Lazarus. Экспертам Group-IB удалось детально проанализировать инфраструктуру группировки, вплоть до выявления IP-адресов и установления района в Пхеньяне, откуда, вероятнее всего, и осуществлялись атаки. В отчете также отмечается, что с прошлого года участники Lazarus принимают активные меры к тому, чтобы замаскироваться под «русских хакеров» – в частности, включая в коды инструментов строки на русском языке. Однако допускаемые при этом ошибки сводят на нет эффект такой маскировки.

Пятничного взлома пост

Ни для кого не секрет, что по сети гуляет масса шифровальщиков, которые могут в считанные минуты превратить данные на компьютере в тыкву. Учитывая, что занимаюсь я в том числе и приходящим админством, для меня людские слёзы о потере данных не были чем-то необычным. Но одно дело, когда данные теряет условная тётя Глаша из отдела кадров условной ООО "Автопилот", и совсем другое дело, когда беда касается тебя самого. Руки начинают трястись, а яйца покрываются инеем.

Ночью один из наших партнёров 1с занимался сочинением кода подключившись к нашему серверу по рдп. К 12 ночи я получил от него смс, что его выкинуло с сервера, а учётная запись для входа отключена. Стало понятно, что кто-то нам подкинул неприятностей.

Утром, добравшись до места и реанимировав учётку админа, глазам предстала картина маслом - все файлы, связанные с работой БД, были заботливо упакованы в архивы rar с паролем.

Что произошло? Злоумышленник получил доступ по протоколу RDP и целенаправленно натворил дел, потребовав за искупление нашей глупости и недальновидности денег. Стандартная история, которая происходила уже с кем-то из знакомых. Но в нашем случае на кону стояли БД объёмом 50 с мелким Гб и работа магазина.

Ежу понятно, что контроллер домена, сервер БД и подключение к нему через рдп без впн - страшный сон любого айтишника. Каждый уважающий себя "тру админ" может сказать в мой адрес что угодно, но так было сделано и это не моя заслуга.

Недолго подумав с руководством, было решено выходить на связь со злоумышленником и пытаться договориться. Нужно отдать должное, но на том конце нас ждали и были готовы принять наши доводы в криптовалюте. Забегая вперед скажу, что всё закончилось для нас благополучно и данные были восстановлены, а дыры на скорую руку залатаны. О степени глупости такого исхода судить не берусь, ибо отдать 19 тыщ и продолжить работать всяко выгоднее, чем разворачивать базы магазина с нуля.

Тем не менее хочу обратиться ко всем потенциальным жертвам. Безотносительно вашей крутости, просвящённости и прочих админских регалий. Проверьте себя и своих клиентов на предмет уязвимости подобным атакам. Ниже я приведу рекомендации от самого автора злодеяний и немного дополню своими размышлениями.

В нашем случае был подобран пароль учётной записи, которая входила в группу Администраторы домена, но имела пароль неустойчивый к перебору - 123456.

На пятикратное нажатие шифта нам заботливо навесили запуск cmd с правами администратора прямо в окне авторизации. Крайне неприятная вещь.

Помимо этого заботливыми руками злоумышленника были полностью удалены бекапы БД хранившиеся на отчуждённом носителе, но, к сожалению, в этой же локальной сети.

Всё это навело на многие размышления и вынудило играть по правилам взломщика. Очутись на его месте школьник или менее предприимчивый злодей, последствия могли быть гораздо более плачевными.

Ну и как устраняли последствия. Первым делом на маршрутизаторе перенаправили порт для подключения по рдп со стандартного, на случайный 5 значный. Удалили подозрительные учётные записи в AD. Сменили пароли пользователям, входящим в группу Администраторы домена. Исключили из этой группы всех недостойных. Ограничили доступ к сетевым шарам и разделам дисков со служебной информацией. Просканировали все диски сервера доктор вебом.

В целом охренев от такого "счастья", решили задуматься о более строгом разграничении прав, выделении сервера терминалов в DMZ, приобретении файервола, организации VPN подключений.

Надеюсь эти очевидные и простые правила, а так же этот смешной, но в то же время грустный, пример послужат для кого-то уроком и стимулом не оставлять подобные вещи без внимания.