NightEagle атакует производственные и строительные предприятия в России

«Лаборатория Касперского» обнаружила кампанию кибершпионажа группы NightEagle (APT-Q-95) против производственных и строительных предприятий в России. Группа активна с 2023 года и изначально была нацелена на организации Китая — это первый случай, когда она атакует компании за пределами Азии. Об этом SecPost рассказали в компании.

По данным компании, для атаки злоумышленники использовали скомпрометированные учётные записи корпоративных VPN и размещали бэкдор GhostContainer на серверах Microsoft Exchange. Эксперты «Лаборатории Касперского» полагают, что вредоносный код внедрялся непосредственно в оперативную память серверов. Для проникновения в системы заражённых организаций группа применяла легитимные инструменты, в частности GitHub и туннели разработки Microsoft. В конечном счёте NightEagle получала контроль над всей ИТ-инфраструктурой жертвы.

Как сообщили в компании, отличительная особенность кампании — активное использование легитимных инструментов и уязвимостей в инфраструктуре жертвы против неё самой. Для перемещения злоумышленники взаимодействуют с обычными сетевыми службами, поэтому в системных журналах остаются следы. Своевременно обнаруживая аномалии с помощью решения Kaspersky EDR Expert, специалисты по кибербезопасности могут выявить следы действия группы задолго до компрометации основной сети, отмечают в «Лаборатории Касперского».

Продолжение ниже

Продукты «Лаборатории Касперского» детектируют бэкдор GhostContainer вердиктом Trojan.MSIL.GhostContainer.gen. Полный технический отчёт опубликован на сайте компании.

Для защиты от подобных угроз компания рекомендует ввести обязательную многофакторную аутентификацию для всех учётных записей VPN и администраторов, отключить неиспользуемые профили и проверять входы в систему через сервисы анонимизации или неизвестных хостинг-провайдеров.

Кроме того, рекомендуется установить исправления для внутренних систем, поскольку злоумышленники воспользовались уязвимостями, существовавшими в инфраструктуре организации несколько лет. Также следует вывести из эксплуатации системы без поддержки и ограничить доступ к удалённому рабочему столу контролируемыми административными хостами.