С того момента, как стало известно об атаке на цепочку поставо | SecAtor

С того момента, как стало известно об атаке на цепочку поставок посредством 3CX VoIP половина инфосек общественности бегает с душераздирающими криками по кругу, а вендоры наперебой дают советы по снижению возможных негативных последствий, хотя в основном рекламят свои решения, - Cyble, Group-IB, Zscaler, Rapid 7 (с празднованием Месяца женской истории наперевес), Sophos, Trend Micro, Cisco Talos, Palo Alto Networks и прочие. И только в лыжи обутые словаки из ESET рассказывают про основы приватности на OnlyFans.

Ну а Лаборатория Касперского дает отчет о дополнительной атрибуции стоящей за атакой APT, чем нас немало радует.

Сразу сделаем оговорку. В последнее время нас стали обвинять в том, что мы слишком много даем Касперских. А все очень просто - Касперские по количеству публикуемых отчетов лидеры не только в России, но и, зачастую, в мире. Давали бы так материалы Дсеки, Позитивы, Бизоны, да те же ГрИБы, - с удовольствием делали бы обзор (что изредка и происходит). Но не дают, шельмецы. Хотя мы все равно их всех любим.

И что же, нам из-за мнения комментаторов специально пропускать интересные отчеты? Ага, щаз. Да и в атрибуцию Касперские любят. А атрибуция - наш фетиш, как известно.

Возвращаясь к сути поста. Дружелюбные привидения обнаружили, что помимо инфостилера в качестве полезной нагрузки в ходе атаки была подтянута некая библиотека guard64.dll, которая в 2020 году была замечена на атакованной машине вместе с бэкдором AppleJeus. принадлежащем Lasarus, пожалуй самой нашей любимой APT ("Ким Чен Ин шагает впереди ") Guard64.dll представляла собой один из модулей бэкдора Gopuram, полноценного трояна удаленного доступа.

Таким образом получены весомые дополнительные, хоть и косвенные, аргументы в пользу того, что за атакой на 3CX стоят северокорейские APT.

А сама атака, конечно, красивая. Прямо произведение искусства. Как скрипка Страдивари. Ну или как маузер Дзержинского...