Компания Cisco Talos, известная своими исследованиями в области кибербезопасности, обнаружила новый пакет вредоносного ПО под названием "ShroudedSnooper". Этот инструментарий включает в себя два новых импланта - "HTTPSnoop" и "PipeSnoop", которые активно используются для атак на телекоммуникационные компании Ближнего Востока. По данным экспертов, злоумышленники применяют эти инструменты для скрытого проникновения в корпоративные сети и кражи конфиденциальных данных.
Описание
"HTTPSnoop" представляет собой бэкдор, который использует инновационный метод взаимодействия с драйверами и устройствами HTTP-ядра Windows. Его ключевая особенность - способность прослушивать входящие HTTP(S)-запросы на определенные URL-адреса и выполнять их на зараженной системе. Это позволяет злоумышленникам удаленно управлять атакованными машинами, обходя традиционные механизмы защиты. Близкий по функционалу имплант "PipeSnoop" принимает произвольный шелл-код через именованные каналы и исполняет его, что делает его еще более опасным инструментом для скрытого контроля над системами.
Оба импланта маскируются под легитимные компоненты программного обеспечения, в частности под агенты расширенного обнаружения и реагирования (XDR), что значительно усложняет их выявление. Использование DLL- и EXE-файлов, имитирующих доверенное ПО, позволяет злоумышленникам избегать срабатывания сигнатурных антивирусных систем.
Анализ шаблонов URL, используемых в "HTTPSnoop", показал, что злоумышленники имитируют запросы к платформе Exchange Web Services (EWS) от Microsoft. Это позволяет предположить, что атаки начинаются с компрометации серверов, выходящих в интернет, а затем злоумышленники используют "HTTPSnoop" для получения первоначального доступа к внутренним ресурсам компании.
Атаки на телекоммуникационный сектор не являются новостью для экспертов Cisco Talos. По данным их отчетов, в 2022 году этот сектор лидировал по количеству кибератак, что делает его одной из самых привлекательных целей для хакеров. Злоумышленники стремятся получить доступ к критически важной инфраструктуре, чтобы перехватывать коммуникации, собирать данные абонентов или использовать сети для дальнейших атак.
Обнаружение "ShroudedSnooper" подтверждает растущую сложность киберугроз и необходимость усиления мер защиты, особенно для компаний, работающих в сфере телекоммуникаций. Эксперты рекомендуют организациям обновлять системы, внедрять многофакторную аутентификацию, а также использовать современные решения для мониторинга и обнаружения аномальной активности в сети. В противном случае риски масштабных утечек данных и финансовых потерь остаются крайне высокими.
Cisco Talos продолжает исследовать активность злоумышленников, связанных с "ShroudedSnooper", и обещает опубликовать дополнительные рекомендации по защите от этих угроз. Компании, особенно в телекоммуникационном секторе, должны быть готовы к возможным атакам и заранее укреплять свою кибербезопасность.
Индикаторы компрометации
