Расследование «Лаборатории Касперского» выявило длительный взлом российского разработчика программного обеспечения. Группа BO Team сохраняла присутствие в его сети несколько месяцев и получила доступ как к исходному коду, так и к серверу, используемому для подписания сборок. Эксперты допускают, что конечной целью были заказчики: такой доступ позволял добавить вредоносный код в продукты компании
Поводом для проверки стали попытки входа на компьютеры администраторов с посторонними учётными записями. Анализ показал, что атакующие контролировали не только почтовую систему, но и резервные копии, виртуальную инфраструктуру, доменные контроллеры, сетевые устройства и управление защитой. Присутствие скрывали с помощью штатных инструментов, имитации системных файлов и уничтожения следов в журналах
Лишившись доступа, злоумышленники разослали фишинговые письма с использованием похищенного закрытого ключа для почтовой подписи. Это позволило частично преодолеть почтовые фильтры, однако рассылку вовремя выявили и кражи учётных данных не произошло. По оценке специалистов, угрозу устранили до реализации конечной цели; подтверждения заражения продуктов в сообщении нет
Сообщите редакции. Существенные исправления мы отмечаем в материале