Пентест WEB: практический курс для начинающих
На прошлой неделе эксперты Microsoft заявили, что российская хакерская группа APT29 (она же Cozy Bear, Dukes, Nobelium), стоявшая за атакой на SolarWinds, атаковала Агентство США по международному развитию, использовав в этой кампании четыре новых семейства малвари.
Хакеры скомпрометировали учетную запись агентства в Contact Contact, а затем использовали этот аккаунт, чтобы выдавать себя за его представителей в фишинговых письмах, которые выглядели аутентичными. Суммарно злоумышленники отправили фишинговые послания примерно на 3000 учетных записей более чем в 150 организациях, включая правительственные учреждения и организации, занимающиеся международным развитием, гуманитарной и правозащитной деятельностью.
Как теперь сообщают в ФБР и Минюсте, им удалось захватить два домена, которыми хак-группа пользовалась во время этих атак.
«После того, как получатель фишингового письма кликал по гиперссылке, компьютер жертвы загружал вредоносное ПО с поддомена theyardservice[.]com. Используя эту точку опоры, преступники загружали инструмент Cobalt Strike, чтобы поддерживать постоянное присутствие в системе, а также, вероятно устанавливали дополнительные инструменты и вредоносное ПО в сети жертв. Установка Cobalt Strike связывалась с C&C-сервером через другие поддомены theyardservice[.]com, а также домен worldhomeoutlet[.]com», — пишут специалисты Министерства юстиции.
Получив постановление суда, власти изъяли эти два домена, чтобы заблокировать злоумышленникам возможность заражать новые системы и взаимодействовать с ранее зараженными хостами.
