Новости SEKOIA раскрывает инфраструктуру шпионской кампании Lycantrox

[NewsMaker]

Какие страны были уличены в неправомерной слежке за своими гражданами?

---

---

В прошлом месяце исследователи Citizen Lab Для просмотра ссылки Войди или Зарегистрируйся о применении хакерами шпионского программного обеспечения Predator , разработанного компанией Cytrox , против iPhone бывшего египетского депутата Ахмеда Эльтантави.

В августе и сентябре этого года Эльтантави был подвергнут атаке с перенаправлением на вредоносные веб-страницы, для реализации которых использовались уязвимости нулевого дня в iOS ( Для просмотра ссылки Войди или Зарегистрируйся , Для просмотра ссылки Войди или Зарегистрируйся , Для просмотра ссылки Войди или Зарегистрируйся ) для установки шпионского ПО Predator. Как полагается, данная атака преследовала политические мотивы.

В прошлом компания Cytrox уже привлекала к себе внимание применением Predator для целевых атак на общественных деятелей. Тогда Для просмотра ссылки Войди или Зарегистрируйся , так и Для просмотра ссылки Войди или Зарегистрируйся *, изучали деятельность Cytrox, а также её материнской компании Intellexa .

В декабре 2021 года специалистами компании SEKOIA также был выпущен Для просмотра ссылки Войди или Зарегистрируйся , исследовавший возможные связи между клиентами Cytrox (отслеживаемых в рамках операции Lycantrox) и клиентами Candiru (отслеживаемых в рамках операции Karkadann). Обе шпионские кампании использовали схожую инфраструктуру для компрометации своих целей.

Совсем недавно, исследуя инфраструктуру, используемую Lycantrox, эксперты SEKOIA Для просмотра ссылки Войди или Зарегистрируйся множество доменов, связанные с этой группой. В качестве примера можно привести «bitshort[.]info», замаскированный под сервис сокращения ссылок, и «elwatnanews[.]com», который притворяется новостным ресурсом.

Всего исследователями было обнаружено 121 уникальное доменное имя, с высокой степенью уверенности связанное с инфраструктурой Lycantrox. Многие из этих доменов имеют связи с серверами, которые принимают платежи в криптовалюте и, так или иначе, связаны с киберпреступной деятельностью.

Подробный анализ угрозы показал, что серверы, связанные с выявленными доменами, располагаются в Мадагаскаре, Индонезии, Казахстане и Анголе. Как полагают исследователи, они используются для кибершпионажа местными правительственными службами за различными политическими деятелями, активистами и журналистами.

Эксперты предоставили в Для просмотра ссылки Войди или Зарегистрируйся все выявленные индикаторы компрометации шпионской кампании Lycantrox и пообещали продолжить отслеживать действия кибернаемников из Cytrox и Intellexa, публично освещая их деятельность и раскрывая инфраструктуру.

<span style="font-size: 8pt;">* Компания Meta и её продукты признаны экстремистскими, их деятельность запрещена на территории РФ.</span>