Ваш роутер вам врет? Хакеры научились превращать легальные обновления Android в вирусы прямо в кабеле
NewsMakerКитайский фреймворк DKnife атакует устройства до того, как данные попадут на экран.
Исследователи Cisco Talos разобрали новый вредоносный набор инструментов под названием DKnife . По их данным, его используют как минимум с 2019 года в шпионских операциях. Комплект размещают на сетевых пограничных устройствах, после чего он перехватывает проходящий трафик и подменяет загружаемые данные, внедряя вредоносные компоненты прямо по пути к пользователю.
DKnife начинает работать уже после первичного взлома. То есть сначала злоумышленники получают доступ к сетевому оборудованию, а затем разворачивают там этот фреймворк. Дальше он позволяет наблюдать за потоками данных и проводить атаки MITM . Подход похож на метод man in the middle (человек посередине), но управление полностью у атакующей стороны. Инструментарий перехватывает и изменяет пакеты, которые идут к компьютерам, мобильным устройствам и IoT узлам внутри сети.
Специалисты Talos описывают DKnife как набор ELF модулей для Linux. Внутри семь отдельных компонентов. Они отвечают за глубокий анализ пакетов через DPI, подмену сетевых данных, сбор учетных данных и доставку вредоносных файлов. В названиях модулей и комментариях в коде обнаружены фрагменты на упрощенном китайском языке. Логика работы также ориентирована на китайские сервисы. В правилах и фильтрах упоминаются местные почтовые провайдеры, мобильные приложения, медиаресурсы и пользователи WeChat. На основании этих признаков Talos связывает операторов DKnife с китайским направлением и оценивает такую атрибуцию с высокой уверенностью.
Как именно происходит первичный взлом сетевого оборудования, исследователи пока не установили. Зато они зафиксировали, что через DKnife распространяются и управляются бэкдоры ShadowPad и DarkNimbus. Оба инструмента ранее уже связывали с китайскими группами. Значит платформа используется как транспорт и как точка управления для уже известных закладок.
Исследователи Cisco Talos разобрали новый вредоносный набор инструментов под названием DKnife . По их данным, его используют как минимум с 2019 года в шпионских операциях. Комплект размещают на сетевых пограничных устройствах, после чего он перехватывает проходящий трафик и подменяет загружаемые данные, внедряя вредоносные компоненты прямо по пути к пользователю.
DKnife начинает работать уже после первичного взлома. То есть сначала злоумышленники получают доступ к сетевому оборудованию, а затем разворачивают там этот фреймворк. Дальше он позволяет наблюдать за потоками данных и проводить атаки MITM . Подход похож на метод man in the middle (человек посередине), но управление полностью у атакующей стороны. Инструментарий перехватывает и изменяет пакеты, которые идут к компьютерам, мобильным устройствам и IoT узлам внутри сети.
Специалисты Talos описывают DKnife как набор ELF модулей для Linux. Внутри семь отдельных компонентов. Они отвечают за глубокий анализ пакетов через DPI, подмену сетевых данных, сбор учетных данных и доставку вредоносных файлов. В названиях модулей и комментариях в коде обнаружены фрагменты на упрощенном китайском языке. Логика работы также ориентирована на китайские сервисы. В правилах и фильтрах упоминаются местные почтовые провайдеры, мобильные приложения, медиаресурсы и пользователи WeChat. На основании этих признаков Talos связывает операторов DKnife с китайским направлением и оценивает такую атрибуцию с высокой уверенностью.
Как именно происходит первичный взлом сетевого оборудования, исследователи пока не установили. Зато они зафиксировали, что через DKnife распространяются и управляются бэкдоры ShadowPad и DarkNimbus. Оба инструмента ранее уже связывали с китайскими группами. Значит платформа используется как транспорт и как точка управления для уже известных закладок.