Просмотр новости
Найдите то, что Вас интересует
Спутники
РН
SpaceX
Роскосмос
NASA
Китайская хакерская группировка атакует Россию и Индию с использованием нового бэкдора
Дата публикации: 29-07-2026 04:23:00
Китайская APT-группировка Silver Fox атакует организации в России и Индии с использованием нового бэкдора ABCDoor. Кампания затронула организации из сфер промышленности, консалтинга, торговли и транспорта. Фишинговые письма выдавались за сообщения от налоговых органов. О доле успешных атак не сообщается.
Основное содержимое страницы с новостью.
29 Июля 2026 07:23 29 Июл 2026 07:23 |
Китайская APT-группировка Silver Fox атакует организации в России и Индии с использованием нового бэкдора ABCDoor. Кампания затронула организации из сфер промышленности, консалтинга, торговли и транспорта. Фишинговые письма выдавались за сообщения от налоговых органов. О доле успешных атак не сообщается.
Под видом налоговиковAPT-группа Silver Fox атакует индийские и российские организации фишинговыми письмами с последующей подгрузкой нового бэкдора, сообщает компания Kaspersky. По данным экспертов компании, эта группа имеет китайские корни.
Все атаки имели одинаковую структуру: фишинговые письма имитировали официальные уведомления о налоговых проверках или предлагали загрузить архив с «перечнем налоговых нарушений».
В архиве находился модифицированный загрузчик на Rust, взятый из открытого репозитория, который скачивал и запускал известный бэкдор ValleyRAT, а также прежде не задокументированный плагин к нему, - ещё один бэкдор, написанный на Python. Его в Kaspersky окрестили ABCDoor.
Китайская APT-группировка атакует промышленные, консалтинговые, торговые и транспортные компании из России и Индии
«Ретроспективное исследование показало, что он находился в арсенале Silver Fox как минимум с конца 2024 года и применяется в реальных атаках с первого квартала 2025 года по сей день», - пишут исследователи на SecureList.
Кампания затронула организации из сфер промышленности, консалтинга, торговли и транспорта. C начала января по начало февраля было зафиксировано более 1600 вредоносных писем.
К ним прилагались архивы, в которых могли скрываться вредоносные исполняемые файлы либо документы с кликабельными ссылками, ведущими на ресурсы под контролем злоумышленников.
Как пишут исследователи Kaspersky, вариант со ссылками на загрузку вредоноса нацелен на обход почтовых систем защиты - вероятность дойти до адресата у документов со ссылками больше, чем у вложения с вредоносным кодом.
Злоумышленники использовали версию Rust-загрузчика под названием RustSL (исходники которого опубликованы на GitHub с описанием на китайском языке), фреймворка, который предназначен для обхода антивирусов. Silver Fox, впрочем, добавили в него ряд новых модулей.
Это, в частности, распаковщик steganography.rs, который, вопреки названию, никакого отношения к стеганографии не имел. Для распаковки вредоносной нагрузки используется кастомный алгоритм, основанный на XOR.
Ещё один добавленный модуль - guard.rs - предназначен для проверки среды выполнения и страны запуска.
«В самых первых образцах загрузчиков (конец декабря 2025 года) группировка Silver Fox использовала все доступные методы обнаружения виртуальных машин и песочниц, а также проверяла, находится ли устройство в интересующей ее стране. В более поздних версиях осталась только геолокационная проверка, при этом списки используемых для этого сервисов и стран, разрешенных для работы, расширились».
В последних версиях загрузчика список разрешённых стран включает, помимо Китая, Индию, Индонезию, ЮАР, Россию, Камбоджу и Японию.
Для определения страны Silver Fox RustSL отправлял запросы на пять публичных сервисов: ip-api.com, ipwho.is, ipinfo.io, ipapi.co и www.geoplugin.net.
Кроме того, январские сборки загрузчика характеризуются использованием новой методики закрепления в системе Phantom Persistence. Она предполагает использование функций, которые позволяют приложениям, требующим перезагрузки для установки обновлений корректно завершать эту процедуру. «Злоумышленники перехватывают сигнал о завершении работы, останавливают нормальное выключение устройства и инициируют перезагрузку якобы для обновления зловреда. Таким образом загрузчик заставляет запустить себя после старта ОС», - отметили исследователи.
Атипичный бэкдорЧто касается ранее неизвестного бэкдора ABCDoor, то его главной особенностью, по мнению экспертов Kaspersky, является отсутствие характерных функций для удаленного управления, например, создания удаленной оболочки или выполнения произвольной команды.
Вместо этого применяются два альтернативных способа манипулирования зараженным устройством - эмуляция двойного клика мышью в режиме трансляции экранов жертвы и запуск файлов через функцию ShellExecute и обработчик расширения открываемого файла.
Для трансляции экрана используется отдельный файл ffmpeg.exe, который доставляется в одном архиве с ABCDoor. В последних версиях он поддерживает трансляцию сразу с нескольких (до четырёх) мониторов разом.
ABCDoor запускается внутри легитимного процесса pythonw.exce, так что может долго оставаться незамеченным. В то же время он оставляет ряд характерных следов в системе, по которым его можно идентифицировать.
В частности, при первой установке он вписывает в системном реестре значение HKCU:\Software\CarEmu:FirstInstallTime, а также создает каталог и файл %LOCALAPPDATA%\applogs\device.log, куда сохраняется идентификатор жертвы. При возникновении исключений он записывает их в файл %LOCALAPPDATA%\applogs\exception_logs.zip.
«Любопытно, что группа Silver Fox даже реализовала функцию Utility::upload_exception_logs для отправки архива с исключениями на заданный URI — вероятно, чтобы корректировать возникающие при работе ошибки», - пишут исследователи.
Разработка ABCDoor и средств его доставки явным образом продолжаются и поныне, хотя он уже и применяется на практике.
«Ключевым методом, однако, остаётся социальная инженерия - эксплуатация настороженного отношения к сообщениям от органов власти, особенно налоговиков, - считает Александр Зонов, эксперт по информационной безопасности компании SEQ».
Эксперт отметил, что, по крайней мере, русскоязычный PDF-документ составлен грамматически и орфографически корректно, но, судя по скриншотам с SecureList, изобилует неуместными переносами строк, что может вызывать подозрение. В любом случае, необходимо помнить, считает эксперт, что источники любых сообщений, оставляющих впечатление срочности, необходимо перепроверять.
Схожие новости
Классификация: Пресс-релизы. Схожих патентов: 0. Схожих новостей: 9. Тональность: 0. Информативность: 8.74. Источник: mobileb2b.cnews.ru.