Эксперты «Лаборатории Касперского» обнаружили редкую в наше время разновидность вредоносного ПО — руткит Moriya. Дело в том, что после релиза Windows 10  безопасность ОС заметно усилилась, так что в последние годы разрабатывать и успешно использовать руткиты стало значительно сложнее.

Исследователи пишут, что Moriya предназначен для Windows и существует как минимум с 2018 года, просто до недавних пор руткит оставался незамеченным. По данным компании, за это время он использовался для весьма ограниченных и узконаправленных атак (пострадавших пока менее десятка). Наиболее заметными жертвами были  две крупные региональные дипломатические организации  в Юго-Восточной Азии и Африке, а остальные жертвы находились в странах Южной Азии.

Кто именно является создателем этого руткита неизвестно, но исследователи полагают, что за вредоносом стоит некая китайская кибершпионская группировка.

«Мы опираемся на тот факт, что объекты атак ранее уже подвергались атакам говорящих на китайском злоумышленников и, как правило, находятся в странах, которые часто становятся целями таких преступников. Кроме того, инструменты, использованные злоумышленниками, включая China Chopper, BOUNCER, Termite и Earthworm, являются дополнительным индикатором, подтверждающим нашу гипотезу, поскольку ранее они применялись в кампаниях, приписываемых известным китайским группам», — гласи отчет.

Moriya оставался незамеченным столько лет, так как, например, он применяет хорошо известную тактику: внедряется между сетевым TCP/IP стеком Windows и входящим сетевым трафиком, а затем перехватывает пакеты данных еще до того, как они достигают операционной системы и любого установленного локально антивируса.

Архитектура Moriya

Чтобы проникнуть в сеть интересующей их организации и установить Moriya, злоумышленники обычно компрометировали уязвимые веб-серверы IIS. К примеру, в одной из подтвержденных атак точкой входа послужил сервер, где не было патча для старой уязвимости CVE-2017-7269. Эксплуатируя этот баг, злоумышленники установили на сервер веб-шелл, а затем использовали его для развертывания Moriya.

3 комментария

  1. Аватар

    xakepru0uts1d3r4

    07.05.2021 в 15:15

    Судя по всему, Китай со времён Lokheed&Martin и аппарата господина Буша тянет эту привычку ломать железо дипмиссий. Только там трояны хранились годами, ну и как бы АНБ упирало на эти факты при расчете экономических потерь. И странно, что настолько большая армия хакеров работает так натужно — видимо, данные о пострадавших будут ещё поступать. Скорее всего, у производителей железа есть своя база черных эксплойтов и бэкдоров, которые передаются правительственным хакерам для глубинного наблюдения, хотя это только мои догадки.

    • Аватар

      skyscr

      12.05.2021 в 01:00

      Серьезные системы вряд ли выходят в общую сеть, а если кто-то выходит, то перед выходом проходит «машинное обучение», примерно создается история «за год» затем делается анализ обмена полезного трафика в системе, обученная система должна сама обнаруживать лишние действия и мусорный трафик «глубинного наблюдения»..как искусственный интеллект, при этом «мгновенные 0day» в совокупе с человеческим админ-тормозом никто не отменял

  2. Аватар

    B4lTaZAR-QiTh1.0

    07.05.2021 в 16:05

    Дожили.. «руткиты — редкое вредоносное ПО». Хотя это странное заявление беря во внимание новости за последние 4 месяцы(к примеру), что не «вторник», то закрывают какую-то серьезную брешь в Винде. Попутно открывая новую)) и ломая юзерам Ось.))) Тут уже сама «Майка» стала еще тем вредоносом,)

Оставить мнение