 |
ESET: хакеры Turla атакуют пользователей Microsoft Outlook
Специалисты ESET выполнили анализ бэкдора кибершпионской группы Turla, который использовался для кражи конфиденциальных данных госучреждений в странах Европы. Хакеры управляли программой через Microsoft Outlook, отправляя команды в PDF-файлах во вложении.
Вредоносная программа была установлена на нескольких компьютерах Федерального министерства иностранных дел Германии. Чтобы достичь этой цели, операторы Turla скомпрометировали Федеральную высшую школу государственного управления и перемещались в ее сети, пока не проникли в МИД в марте 2017 года. Далее на протяжении 2017 года Outlook-бэкдор обеспечивал хакерам доступ к данным, включая почту сотрудников.
Операторы Turla используют для связи с бэкдором электронные письма, содержащие специальным образом созданные PDF-файлы во вложении. Так они могут отправлять на зараженный компьютер целый ряд команд: выслать данные, загрузить в систему дополнительные файлы, выполнить другие программы и запросы. Собранная информация также будет отправлена хакерам в PDF.
Бэкдор проверяет каждое входящее письмо на наличие PDF-файла с командами. Фактически, вредоносная программа выполнит команды любого, кто сможет закодировать их в PDF-документе. В свою очередь, операторы Turla могут восстановить контроль, отправив бэкдору соответствующий запрос с любого адреса электронной почты.
Каждый раз, когда жертва получает или отправляет письмо, бэкдор сохраняет данные о нем, включая адреса отправителя и получателя, тему и название вложения. Эта информация регулярно пересылается операторам Turla в PDF-документах.
Кроме того, бэкдор дублирует своим операторам все исходящие письма жертвы. Почта уходит одновременно с отправкой настоящих писем, поэтому подозрительный трафик за пределами рабочего дня пользователя отсутствует.
Чтобы скрыть свою активность, бэкдор блокирует уведомления о входящих письмах от операторов. Отправленная хакерам почта также не отображается в почтовом ящике. Тем не менее, в момент поступления письма с командами жертва может видеть индикатор непрочтенного входящего сообщения в течение нескольких секунд.
Новейшие версии бэкдора нацелены на Microsoft Outlook, более старые позволяли также работать с почтовым клиентом The Bat!, популярным в Восточной Европе.
Вредоносная программа не первой использовала реальный почтовый ящик жертвы для получения команд и кражи данных. Однако это первый изученный бэкдор, использующий стандартный интерфейс программирования приложений электронной почты – MAPI. Это существенная доработка в сравнении с прежними версиями бэкдора. По мнению специалистов ESET, Turla – единственная кибергруппа, которая использует в настоящее время подобные инструменты.
Кибергруппа Turla (Snake, Uroboros) получила известность в 2008 года после взлома защищенных объектов, включая сеть Центрального командования ВС США. В списке жертв – Министерство иностранных дел Финляндии (2013 г.), швейцарская оборонная корпорация RUAG (2014–2016 гг.), правительство Германии (конец 2017–начало 2018 гг.).
Более подробная информация об угрозе и индикаторы заражения – в блоге ESET на Хабрахабре.
Контактное лицо: Евгения Громова
Компания: ESET Russia
Добавлен: 23:40, 28.08.2018
Количество просмотров: 543
Страна: Россия
| «Группа Астра» и НОТА создадут ПАК на базе Astra Linux Embedded, ПАО ГРУППА АСТРА, 17:02, 13.10.2025, Россия90 |
| В рамках форума инновационных финансовых технологий «Финополис 2025» представители двух ведущих российских ИТ‑компаний подписали соглашение о совместной разработке программно‑аппаратных комплексов, представляющих собой терминалы на базе ПО от платформы корпоративных коммуникаций DION и встраиваемой версии операционной системы Astra Linux Embedded. |
| «Группа Астра» и АТОЛ расширяют линейку совместимых устройств для финансового сектора, ПАО ГРУППА АСТРА, 09:55, 13.10.2025, Россия102 |
| На форуме инновационных финансовых технологий «Финополис» представители «Группы «Астра» и ведущего разработчика платежных решений АТОЛ подписали новое соглашение о сотрудничестве, направленное на масштабное расширение линейки оборудования для автоматизации бизнеса, совместимого с отечественной операционной системой Astra Linux. |
| ЕДИНЫЙ ЦУПИС второй год подряд признан «Отличным местом для работы», ЕДИНЫЙ ЦУПИС (НКО "Мобильная карта"), 09:41, 13.10.2025, Россия102 |
| Платежный сервис в регулируемой индустрии развлечений ЕДИНЫЙ ЦУПИС подтвердил высокий статус работодателя, получив престижный сертификат «Отличное место для работы» в рамках масштабного проекта Happy Job. Компания удостоилась награды сразу в двух категориях: «Банки и финансовые услуги» и «ИТ». |
| Цифровой разработчик Т1 сэкономит ИТ-специалистам 4 часа в неделю, ИТ-холдинг Т1, 14:19, 10.10.2025, Россия403 |
| ИТ-холдинг Т1 представил на форуме FINOPOLIS-2025 прототип Цифрового разработчика — инновационное решение, которое объединяет возможности нескольких ИИ-ассистентов в сфере разработки ПО. Этот многозадачный «ИИ-сотрудник» позволит автоматизировать типичные операции продуктовых и проектных команд — и таким образом сможет экономить до 10% рабочего времени специалистов. |
|
|
