Xakep #305. Многошаговые SQL-инъекции
В январе 2021 года эксперты Google предупреждали, что северокорейские хакеры атакуют ИБ-специалистов, занимающихся исследованиями уязвимостей. К специалистам применяли социальную инженерию, пытались войти к ним в доверие, а в итоге заманить на вредоносные сайты и заразить их системы малварью.
Теперь в Google пишут, что эти атаки возобновились: был обнаружен сайт фейковой ИБ-фирмы SecuriElite, а также ее учетные записи в Twitter и LinkedIn, которые были созданы той же хакерской группой. Якобы фирма находится в Турции и занимается пентестами, оценкой безопасности ПО и эксплоитами.
Связать эту компанию с прошлыми атаками удалось благодаря использованию того же открытого ключа PGP.
Суд я по всему, злоумышленники действовали по старой схеме: планировали использовать аккаунты в социальных сетях для связи с ИБ-специалистами, чтобы заманить исследователей на свой сайт, где против них использовали бы эксплоиты для браузера и заражали бы их машины вредоносным ПО.
Тогда как во время первой волны атак использовались уязвимости нулевого дня в Google Chrome, Internet Explorer и Windows 10, новый сайт не содержал какого-либо вредоносного кода. В Google полагают, что операция была обнаружена еще на этапе планирования, и до эксплоитов дело дойти просто не успело.
Хотя сайт SecuriElite не был вредоносным на момент обнаружения, Google все равно добавила адрес сайта (securielite[.]com) в Safe Browsing API, чтобы пользователи не могли попасть на него даже случайно. Также эксперты уведомили социальные сети об учетных записях злоумышленников, которые теперь уже заблокированы.
