Хакерская группировка Cobalt переключилась на российские банки

Хакерская группировка Cobalt, известная своими атаками на финучреждения, изменила свою тактику – если раньше злоумышленники атаковали клиентов банков, то теперь их целью стали сами финорганизации. Специалисты компании Trend Micro зафиксировали ряд кибератак, которые, судя по всему, являлись частью стартовавшей летом нынешнего года кампании, направленной на русскоязычные предприятия.

Предыдущие кампании группировки были ориентированы на банкоматы и европейские финансовые организации. В отличие от других российских или русскоязычных хакерских группировок, как правило, избегающих страны постсоветского пространства, Cobalt, по всей видимости, использует данный регион в качестве тестовой площадки для испытания новых техник и вредоносного ПО.

По данным исследователей, в недавних атаках злоумышленники рассылали фишинговые письма от имени клиентов целевых организаций, арбитражного суда или компании, специализирующейся на кибербезопасности. Первое вредоносное письмо, обнаруженное в конце августа. содержало RTF-документ с вредоносным макросом, однако уже в сентябре группировка переключилась на использование эксплоита для уязвимости CVE-2017-8759 в Microsoft .NET Framework, позволяющей удаленно выполнить код. Microsoft выпустила исправляющий проблему патч в сентябре текущего года.

Проэксплуатировав уязвимость, хакеры устанавливали на компьютере жертвы бэкдор Cobalt Strike, который связывался с удаленным управляющим сервером и ожидал команд злоумышленников.

«Исследователи в области безопасности постоянно создают новые механизмы для обнаружения угроз, но и киберпреступники не сидят сложа руки, модифицируя свои тактики. В случае Cobalt они рассматривали легитимные программы Windows в качестве каналов, позволяющих их вредоносным кодам обойти белые списки», - отметили исследователи.

Источник