Google выявила новое вредоносное ПО, связанное с российской хакерской группой COLDRIVER.

Google недавно выявил новую разновидность вредоносного ПО под названием "LOSTKEYS", приписываемую российской хакерской группе COLDRIVER. Это вредоносное ПО предназначено для кражи конфиденциальных файлов и передачи критически важной системной информации обратно к своим операторам, что является значительной эскалацией киберспособностей группы.

Ключевые моменты

• Новое вредоносное ПО: Вредоносное ПО, названное "LOSTKEYS", является сложным инструментом для шпионажа.

• Целевые объекты: COLDRIVER нацеливалась на западных государственных чиновников, журналистов и НПО.

• Исторический контекст: У группы есть история киберопераций, связанных с российскими геополитическими интересами.

• Меры безопасности: Google внедрил защитные меры для снижения рисков, связанных с этим вредоносным ПО.

•  

Обзор Cold River

COLDRIVER, также известная под различными псевдонимами, является российской хакерской группой, которая, как считается, имеет связи с Федеральной службой безопасности (ФСБ). Исторически группа сосредоточилась на фишинге учетных данных, нацеливаясь на высокопрофильных лиц в правительствах НАТО, НПО и бывших разведывательных чиновников. Их основная цель - собирать разведывательную информацию, которая соответствует российским стратегическим интересам.

Направление деятельности

Наблюдение группой угроз Google (GTIG) показало, что с января 2024 года COLDRIVER расширила свои цели, включая:

• Текущих и бывших советников западных правительств и военных учреждений.

• Журналистов и членов международных аналитических центров.

• Неправительственные организации и лиц, связанных с Украиной.

Исторический контекст операций COLDRIVER

COLDRIVER ранее была замешана в нескольких высокопрофильных кибероперациях, включая:

• Нацеливание на три ядерные исследовательские установки в Соединенных Штатах в середине 2022 года.

• Утечка личных электронных писем бывшего главы британской разведки сэра Ричарда Дирлавa и других сторонников Brexit.

Эти операции подчеркивают постоянную приверженность группы шпионажу и сбору разведывательной информации.

Появление LOSTKEYS

Появление LOSTKEYS представляет собой заметное продвижение в инструментарии COLDRIVER. По словам Уэсли Шилдса, исследователя GTIG, это вредоносное ПО способно:

• Красть файлы из различных каталогов и с различными расширениями.

• Отправлять информацию о системе и запущенных процессах обратно к злоумышленникам.

Вредоносное ПО доставляется через многоступенчатый процесс, который включает:

1. Ловушка-сайт: Цели представляется поддельный CAPTCHA.

2. Скрипт PowerShell: Этот скрипт загружается в буфер обмена пользователя.

3. Уклонение от обнаружения: Вредоносное ПО использует методы для уклонения от обнаружения.

4. Получение финального полезного груза: Вредоносное ПО устанавливается на систему цели.

Доставка полезной нагрузки LOSTKEYS: Google

Ответ Google и рекомендации

В свете обнаружения LOSTKEYS Google предпринял проактивные меры для защиты пользователей, включая:

• Добавление выявленных вредоносных сайтов в свою функцию Защиты от вредоносных сайтов.

• Отправку уведомлений целевым пользователям Gmail и Workspace о потенциальных угрозах.

• Рекомендацию пользователям включить Расширенную защиту и поддерживать свои устройства в актуальном состоянии.

Аналитики в области кибербезопасности подчеркивают важность бдительности среди организаций и лиц, которые могут подвергаться риску из-за развивающихся тактик COLDRIVER. Появление LOSTKEYS подчеркивает более широкую тенденцию к увеличению сложности тактик кибершпионажа, используемых связанными с государством актерами.

Поскольку ландшафт киберугроз продолжает развиваться, крайне важно, чтобы потенциальные цели принимали надежные меры безопасности для защиты своей конфиденциальной информации.

Источники

• Google обнаруживает вредоносное ПО 'LOSTKEYS', связанное с российскими хакерами Cold River, Mint.

• Российская угроза группа COLDRIVER расширяет свои цели, включая использование вредоносного ПО, Блог Google.

• Google обнаруживает новое вредоносное ПО, связанное с российской хакерской группой Cold River, Dimsum Daily.

• Google идентифицирует новое вредоносное ПО, связанное с российской хакерской группой, Reuters.

• COLDRIVER использует новое вредоносное ПО для кражи у западных целей — Google, Cointelegraph.

Эта статья была создана с поддержкой технологий, основанных на искусственном интеллекте, с использованием множества авторитетных источников. Финальный контент был тщательно проверен и отредактирован редакционной командой BlockzHub для обеспечения точности, ясности и согласованности. Оригинальные источники информации указаны, когда это необходимо и уместно. Мнения, выраженные в этой статье, не обязательно отражают официальные взгляды или позиции BlockzHub. Эта статья предназначена исключительно для информационных целей и не должна восприниматься как финансовый или профессиональный совет. Инвестирование связано с рисками, и перед принятием инвестиционных решений следует проконсультироваться с квалифицированным финансовым консультантом.