Давненько не видели мы интересных исследований от американцев из группы
Mandiat инфосек вендора
FireEye. И вот вышел
обзор про новую хакерскую группу, которую ресерчеры обозначили как
UNC1945. А группа - скиллованная и вооруженная 0-day эксплойтами.
Впервые
FireEye обнаружила
UNC1945 в середине 2020 года, хотя ее активность начинается как минимум с конца 2018. Основными целями хакеров являются телекоммуникационные компании, а также финансы и консалтинг.
Исследователи обнаружили как минимум два факта взлома хакерами серверов под управлением ОС
Solaris с использованием эксплойта
EVILSUN ранее неизвестной уязвимости, которая получила название CVE-2020-14871 и с подачи
FireEye была закрыта в октябре
Oracle, производителем операционной системы.
Ресерчеры полагают, что данные об эксплуатации уязвимости были куплены
UNC1945 на черном рынке, поскольку предложение о продаже "эксплойта удаленного доступа для Oracle Solaris" появилось на одном из хакерских форумов в апреле 2020 года по цене в 3000 долларов. С другой стороны
UNC1945 взламывали
Solaris, скорее всего, еще с конца 2018 года.
Хакерская группа, по словам
FireEye, является весьма продвинутой. Используемый инструментарий представляет собой совокупность авторских вредоносов и общедоступного ПО, например
Mimikatz. Их действия по взлому сетей, их дальнейшей разведки, боковому перемещению, туннелированию канала связи с управляющими центрами и пр. являются профессиональными и выверенными. Они продемонстрировали способность эффективно работать как с системами под управлением Windows, так и под управлением NIX.
В некоторых случаях хакеры использовали сборки на основе виртуальной машины
QEMU, в которую входили ОС
Tiny Core Linux и набор вредоносных инструментов.
Тем не менее, несмотря на сообщения
FireEye о неоднократно зафиксированных взломах со стороны
UNC1945, исследователи не смогли обнаружить какую-либо активность хакеров по сбору информации из скомпрометированных сетей. В одном случае они выявили развертывание во взломанной сети ransomware
ROLLCOAST, но связывают это с тем, что хакеры продали полученный доступ стороннему актору.
Что же в остатке. Если бы не факт продажи доступа оператору ransomware, то мы бы предположили, что американцы наткнулись на новую прогосударственную
APT, которая проводит взломы ресурсов с целью сбора массивов конфиденциальных данных. А так - по всей видимости это чисто коммерческая группа, которая, тем не менее, работает профессионально и скрытно. И с непонятной пока целью.