Хакеры взломали сайт Ammyy Admin и подменили дистрибутивы



Ammyy Admin


Антивирусная компания ESET в четверг сообщила об обнаружении нового вектора кибератаки Buhtrap, нацеленной на российский бизнес. Злоумышленники скомпрометировали дистрибутивы популярной системы удаленного доступа и администрирования Ammyy Admin.

Киберкампания «Операция Buhtrap» («ловушка для бухгалтера») была раскрыта ESET весной 2015 года. Атакующие распространяли банковское шпионское ПО, используя фишинговую рассылку и набор вредоносных программ для контроля над зараженным ПК. 88% жертв атаки – компании из России.

В октябре 2015 года аналитики ESET обнаружили вредоносную активность на сайте компании Ammyy Group. Злоумышленникам удалось загрузить на сервер модификацию дистрибутива программы Ammyy Admin, содержащую установщик легитимной программы и вредоносное ПО группы Buhtrap. Скомпрометированный дистрибутив был доступен для загрузки около недели.

Buhtrap представляет собой загрузчик (downloader). Он получает список установленного в системе ПО и сайтов, посещенных пользователем. Если система интересна для атакующих, начинается загрузка установочного архива с файлами для кибершпионажа. Вредоносный код позволяет перехватывать нажатия клавиш, получать информацию о смарт-картах и взаимодействовать с удаленным сервером.

Несмотря на то, что Ammyy Admin – легитимная программа, она уже использовалась во вредоносных кампаниях. Поэтому некоторые антивирусные продукты, включая ESET NOD32, детектируют ее как потенциально нежелательное приложение. Тем не менее, программный продукт используется корпоративными пользователями в России и других странах. Среди клиентов Ammyy Group – российские банки и компании из списка Fortune Global 500.

Расследование ESET установило, что в октябре-ноябре 2015 года сайт Ammyy использовался для распространения нескольких семейств вредоносных программ. 26 октября «раздавался» загрузчик трояна Lurk, 29 октября – CoreBot, 30 октября – программа группы Buhtrap, в начале ноября – банковский троян Ranbyus и средство удаленного доступа Netwire RAT. Эти программы не связаны друг с другом, однако фальшивые дистрибутивы Ammyy Admin выполняли одинаковые действия. Можно предположить, что злоумышленники, взломавшие сайт Ammyy Group, предоставляли услуги по распространению вредоносного содержимого разным кибергруппам.

Как отмечают эксперты компании ESET, группа Buhtrap осваивает новые методы компрометации корпоративных пользователей. Как и операторы известного банковского трояна Carbanak, злоумышленники освоили схемы, характерные для таргетированных атак. Использование атак класса watering hole (компрометация сайтов, посещаемых потенциальными жертвами) позволяет характеризовать Buhtrap как АРТ-группировку (Advanced Persistent Threat – «постоянные угрозы повышенной сложности»).
Автор: Softodrom.ru
Дата: 12.11.2015


Marmot
Marmot, 13.11.2015 13:47
На Rghost постоянно заливают Ammyy Admin (возможно, модифицированные вредоносные версии), но подменить дистрибутив на сайте производителя - это куда круче и опаснее, ведь обычно все уверены в безопасности файлов на официальном сайте! Поэтому "доверяй, но проверяй"!
» Прочитать остальные / Написать свой комментарий


Новости > Безопасность > Хакеры взломали сайт Ammyy Admin и подменили дистрибутивы
Все рубрики Новостей:
Топ-сегодня раздела Безопасность
Приложения для обхода блокировок могут красть пароли от соцсетей
Вирусные аналитики компании «Доктор Веб» обнаружили в каталоге Google Play несколько потенциально опасных приложений
Обама одобрил применение кибероружия против России
Экс-президент США Барак Обама в 2016 году одобрил план, предполагающий размещение кибероружия в системах российской инфраструктуры
Украденные пароли 9 тысяч британских чиновников продавались на русскоязычных сайтах
Списки адресов электронной почты и паролей к ним более 9 тыс. британских чиновников были проданы на русскоязычных хакерских площадках
Германия расширила сферу применения вредоносного ПО для слежки за пользователями мессенджеров
Власти страны получат право на онлайн-слежку через программное обеспечение на смартфонах или компьютере, используя для этого вредоносную программу
Сбербанк предупредил о новом способе хищения наличных из банкоматов
Кузнецов отметил, что такой вид мошенничества был зафиксирован в Москве и Санкт-Петербурге
Новинки раздела Безопасность
Германия расширила сферу применения вредоносного ПО для слежки за пользователями мессенджеров
Власти страны получат право на онлайн-слежку через программное обеспечение на смартфонах или компьютере, используя для этого вредоносную программу
Приложения для обхода блокировок могут красть пароли от соцсетей
Вирусные аналитики компании «Доктор Веб» обнаружили в каталоге Google Play несколько потенциально опасных приложений
Обама одобрил применение кибероружия против России
Экс-президент США Барак Обама в 2016 году одобрил план, предполагающий размещение кибероружия в системах российской инфраструктуры
Украденные пароли 9 тысяч британских чиновников продавались на русскоязычных сайтах
Списки адресов электронной почты и паролей к ним более 9 тыс. британских чиновников были проданы на русскоязычных хакерских площадках
Касперский: за самыми сложными кибератаками стоят русскоязычные группы
За самыми сложными и профессиональными криминальными атаками стоят русскоязычные группы
Copyright © 1999-2017 Softodrom.ru
О перепечатках | RSS каналы | Рассылки | Пользовательское соглашение | Политика конфиденциальности | О проекте | Карта сайта
В Опере нет автоматического способа добавить поиск по Софтодрому.
Чтобы вручную добавить поиск по Софтодрому, нужно сделать следующее:
  1. Нажать Ctrl+F12.
  2. Выбрать вкладку «Поиск».
  3. Нажать «Добавить» (Add).
  4. В появившемся окне:
    1. Заполнить название (Softodrom.ru).
    2. Заполнить адрес: https://www.softodrom.ru/Поиск/?text=%s&qs
      Если нет поля «адрес», то кликнуть на «Подробнее».
    3. Остальные поля заполнить по желанию.
  5. Нажать «ОК».