APT-отчёт

«Лаборатория Касперского»: APT-группировки переходят на мобильные устройства и наращивают активность в Азии

Согласно новому отчёту «Лаборатории Касперского» о сложных целевых атаках (APT), в первом квартале 2020 года возросло количество случаев распространения вредоносных программ и заражения ими посредством мобильных платформ. Причём некоторые APT-кампании были сосредоточены исключительно на мобильных устройствах.

«Лаборатория Касперского» недавно опубликовала отчёты о ряде подобных вредоносных кампаний. Среди них масштабная атака типа watering hole*, нацеленная на пользователей в Гонконге, в ходе которой на смартфоны жертв устанавливался LightSpy – многофункциональный зловред для iOS. Также эксперты сообщили об угрозе PhantomLance, нацеленной на пользователей Android-устройств в Южной Азии. Примечательно, что в рамках обеих кампаний успешно использовались различные онлайн-платформы – от форумов и социальных сетей до магазинов приложений.

Также в течение первых трёх месяцев 2020 года продолжала набирать обороты APT-активность в Азии. В частности, различные атаки затрагивали Юго-Восточную Азию и такие страны, как Корея и Япония. По наблюдениям экспертов «Лаборатории Касперского», новые APT-группировки реализовывали нестандартные и иногда малобюджетные вредоносные кампании. Они устанавливали своё присутствие в регионе наряду с известными CactusPete и Lazarus.

APT-группировки, активные в Азии, не единственные, кто создавал и использовал мобильные импланты. Например, TransparentTribe провела вредоносную кампанию с помощью нового модуля под названием USBWorm. Эти злоумышленники, нацеленные жертв в Афганистане и Индии, разработали имплант, предназначенный для заражения Android-устройств. Использованный зловред представлял собой модифицированную версию Android RAT под названием AhMyth – вредоносной программы с открытым исходным кодом, который был доступен на GitHub.

Кроме того, начиная с середины марта, различные APT-группировки эксплуатировали тему коронавируса для привлечения жертв. Среди них Kimsuky, IronHasky, Hades и DarkHotel.

«Пандемия коронавируса не остановила деятельность APT-группировок. Да, с введением карантина в различных странах мы увидели небольшой спад активности, но, очевидно, люди, занимающиеся сложными целевыми атаками, быстро приспособились к удалённой работе. После чего постарались максимально использовать тему коронавируса для проникновения в организации, ведь вероятность, что письмо с таким содержимым откроют и прочтут, близока к 100%. Возможных точек проникновения тоже стало значительно больше, учитывая, что многие в срочном порядке предоставили доступ к ресурсам для удалённых работников. Второй важный тренд – это увеличение количества хорошо подготовленных атак на мобильные устройства, причём мы говорим не только об Android, но и iOS. Поэтому крайне важно для компаний комплексно подходить к защите от целевых атак и уделять внимание аспектам кибербезопасности при организации удалённого доступа к ресурсам компании», – комментирует Юрий Наместников, руководитель российского исследовательского центра «Лаборатории Касперского».

В отчёте о сложных целевых атаках (APT) в первом квартале 2020 года кратко излагаются выводы из аналитических отчётов «Лаборатории Касперского», доступных по подписке. Они включают перечни данных об угрозах (IOC) и YARA-правила, которые помогают специалистам расследовать киберинциденты и находить вредоносные программы. Получить более подробную информацию можно, обратившись по электронному адресу: [email protected].

Для защиты от целевых атак «Лаборатория Касперского» рекомендует принимать следующие меры:

предоставить сотрудникам центров мониторинга угроз (SOC) доступ к самым свежим данным об угрозах и обеспечить им возможность быть в курсе новейших инструментов, техник и тактик, используемых злоумышленниками;
внедрить решение для защиты конечных устройств, такое как Kaspersky Endpoint Detection and Response. Решение должно включать в себя защиту мобильных устройств, а также обеспечивать контроль приложений;
внедрить решение корпоративного уровня, которое детектирует сложные угрозы на сетевом уровне на ранней стадии, такое как Kaspersky Anti Targeted Attack;
поскольку многие целевые атаки начинаются с фишинга или других методов социальной инженерии, необходимо повышать осведомлённость сотрудников о кибербезопасности, например с помощью Kaspersky Automated Security Awareness Platform.

Полная версия отчёта о сложных целевых атаках (APT) в первом квартале 2020 года доступна на Securelist.

* «Атака на водопое», её суть заключается в заражении сайтов, которые часто посещает жертва.