Злоумышленники взломали сервер монгольского удостоверяющего центра MonPass и встроили в официальный клиент компании бэкдор на основе Cobalt Strike, сообщили специалисты компании Avast. Бэкдор был активен в официальном приложении с 8 февраля по 3 марта 2021 года.
Атаку обнаружили в конце марта, когда специалисты Avast заметили установщик бэкдора и сам бэкдор в системе одного из своих клиентов. С марта по июнь компания работала с CERT Mongolia и MonPass над расследованием случившегося, причем MonPass предоставил Avast для расследования клонированный образ взломанного сервера.
«Наш анализ, начатый в апреле 2021 года, показывает, что публичный веб-сервер, хостившийся у MonPass, был взломан восемь раз: мы нашли на нем восемь различных веб-шеллов и бэкдоров», — гласит отчет аналитиков.
Приписать атаку конкретной группе злоумышленников не удалось. Хотя «очевидно, что злоумышленники намеревались распространить вредоносное ПО среди пользователей в Монголии, скомпрометировав надежный источник, которым в данном случае является удостоверяющий центр». Стоит отметить, что похожий взлом имел место в прошлом году, когда китайская кибершпионская группа скомпрометировала вьетнамский удостоверяющий центр, который предоставляет цифровые сертификаты местным компаниям и государственным учреждениям. Тогда хакеры точно так же внедрили малварь в приложение для установки сертификатов.
Avast сообщает, что к настоящему моменту MonPass уже обезопасила свой сервер и уведомила пострадавших клиентов, которые загрузили и использовали зараженное клиентское приложение.
