Управляющие серверы LoJax оказались по-прежнему активны

17.01.2019 16:53

Управляющие серверы LoJax оказались по-прежнему активны

Рекомендуем почитать:

Xakep #237. Даркнет 2018

Содержание выпуска
Подписка на «Хакер»

Специалисты ASERT (Arbor Security Engineering & Response Team) сумели обнаружить множество серверов и доменных имен, входивших в инфраструктуру малвари LoJax, что позволило изучить работу операторов малвари подробнее.

Напомню, что впервые LoJax заметили аналитики компании Arbor Networks в мае 2018 года. LoJax — это «близнец» легитимного решения LoJack от компании Absolute Software, созданного для защиты устройств от утери и кражи. Инструмент встраивается в UEFI и позволяет, к примеру, отслеживать местонахождение устройства или удаленно стереть данные.

Осенью 2018 года эксперты ESET рассказали о том, что LoJax используется известной группой российских правительственных хакеров APT28 (она же Sednit, Fancy Bear, Strontium, Sofacy и так далее). Тогда LoJax применялся для внедрения на целевые машины первого известного руткита для Unified Extensible Firmware Interface (UEFI).

Теперь исследователи ASERT обнародовали новые подробности об инфраструктуре LoJax, согласно которым, малварь активна как минимум с 2016 года. Кроме того, судя по масштабам инфраструктуры, угроза вовсе не была новым инструментом, использованным лишь для нескольких целевых атак.

Специалисты сопоставили свои данные с индикаторами компрометации, опубликованными британским Национальным центром кибербезопасности (NCSC) для малвари Fancy bear в октябре прошлого года, и нашли множество совпадений.

Обнаруженные ASERT домены	Данные NCSC
Неизвестно	185.86.148[.]184
moldstream[.]md	185.181.102[.]201
visualrates[.]com	169.239.129[.]121
regvirt[.]com	46.21.147[.]71
ntpstatistics[.]com	169.239.128[.]133
oiatribe[.]com	162.208.10[.]66
msfontserver[.]com	179.43.158[.]20
treckanalytics[.]com	94.177.12[.]150
unigymboom[.]com	185.86.151[.]2
sysanalyticweb[.]com	54.37.104[.]106
remotepx[.]net	85.204.124[.]77
vsnet[.]co	46.21.147[.]76
hp-apps[.]com	185.86.149[.]116
jflynci[.]com	185.86.151[.]104
peacefund[.]eu	185.183.107[.]40
elaxo[.]org	86.106.131[.]54
oiagives[.]com	162.208.10[.]66
Неизвестно	93.113.131[.]103
webstp[.]com	185.94.191[.]65

Также исследователи обнаружили, что придание LoJax огласке, похоже, не слишком помешало операциям Fancy Bear, так как два управляющих сервера малвари доступы до сих пор: 185.86.151[.]2 (unigymboom[.]com) и 169.239.128[.]133 (ntpstatistics[.]com).

Изучив историю регистрации найденных доменов, специалисты заметили, что некоторые из них были зарегистрированные еще в «нулевых». Впрочем, это, конечно, не означает, что хакеры использовали их все это время.

Управляющие серверы LoJax оказались по-прежнему активны

Источник