Контакты
Подписка 2025
ITSEC 2025
Интеграция безопасности в процессы внутренней разработки. 3-4 июня на Форуме ITSEC 2025 (весна)
Регистрируйтесь и участвуйте!

37 команд для атаки: новый бэкдор FINALDRAFT

14/02/25

backdoor-1

Исследователи Elastic Security Labs обнаружили новую кибератаку, в ходе которой хакеры использовали мощный бэкдор FINALDRAFT. Целью атакующих стало внешнеполитическое ведомство одной из стран Южной Америки, а также телекоммуникационная компания и университет в Юго-Восточной Азии, пишет Securitylab.

FINALDRAFT — это продвинутый инструмент удалённого управления, написанный на C++. Он способен загружать дополнительные модули, выполнять команды и использовать Microsoft Graph API для скрытого управления через черновики почтового сервиса Outlook. Этот метод ранее применялся в другом вредоносном ПО — SIESTAGRAPH.

Атакующие использовали утилиту certutil для загрузки файлов с сервера, связанного с внешнеполитическим ведомством. Команды certutil исполнялись через Windows Remote Management (WinrsHost.exe), что указывает на наличие у злоумышленников украденных учётных данных и доступ к внутренней сети.

Запуск атаки осуществлялся через троянец PATHLOADER, который загружал зашифрованный шелл-код, а затем внедрял его в память процесса «mspaint.exe». Этот код активировал FINALDRAFT, позволяя хакерам управлять заражёнными системами.

Бэкдор поддерживает 37 команд, среди которых управление файлами, внедрение в процессы и создание сетевых прокси. Он также умеет запускать процессы с украденными NTLM-хешами и исполнять PowerShell-команды, обходя встроенные механизмы контроля Windows. Для этого FINALDRAFT использует PowerPick — компонент набора инструментов Empire.

Кроме Windows-версии, обнаружен вариант FINALDRAFT для Linux, загруженный в VirusTotal пользователями из Бразилии и США. Эта версия поддерживает аналогичный функционал, позволяя выполнять команды через popen и скрывать следы своего присутствия.

Анализ показывает, что атака была тщательно подготовлена. Высокий уровень инженерии вредоносного ПО свидетельствует о профессиональной организации разработчиков. Однако ошибки в управлении кампанией и слабые меры сокрытия говорят о спешке или недостаточном контроле со стороны операторов.

Продолжительная активность группировки REF7707 и сложность её инструментов указывают на разведывательную направленность операции. На фоне этих атак эксперты подчёркивают необходимость усиления кибербезопасности, особенно в организациях, работающих с конфиденциальной информацией, а также важность постоянного мониторинга и анализа угроз для предотвращения подобных инцидентов в будущем.

Темы:LinuxПреступлениябэкдорыElastic Security LabsАзия
КИИ
Защита контейнеров и микросервисной разработки на Форуме ITSEC 2025
Регистрируйтесь и участвуйте 4 июня 2025 →
Статьи по темеСтатьи по теме

  • Куда российским компаниям мигрировать с Active Directory?
    Несмотря на то, что Active Directory является проверенным и широко используемым решением для управления идентификацией и доступом в Windows-средах, существует веская причина, по которой российские компании рассматривают переход на альтернативные каталоги. Эта причина – миграция с иностранных операционных систем, и как следствие – отказ от их экосистем и инфраструктур, построенных на их основе.
  • Решения Рутокен для аутентификации в российские ОC и информационные системы
    Андрей Шпаков, руководитель проектов по информационной безопасности в Компании "Актив"
    Устройства Рутокен являются передовыми аппаратными средствами пользовательской аутентификации на российском рынке. Совместно с другими средствами защиты они обеспечивают полный цикл MFA. Компания "Актив" создает не только аппаратные, но и программные решения, в частности, Рутокен Логон.
  • О безопасности заимствованных компонентов Open Source
    Алексей Хорошилов, руководитель Центра исследований безопасности системного программного обеспечения, ведущий научный сотрудник ФГБУН “ИСП РАН”
    Open Source стал неотъемлемой частью современного мира. Сегодня уже нет необходимости объяснять, что это такое, – с этим явлением все давно свыклись и приняли его как данность. Однако возникает другой вопрос: как эффективно и зрело работать с Open Source?
  • Пять мифов о безопасности российских операционных систем
    Роман Мылицын, руководитель отдела перспективных исследований “Группы Астра”
    Использование российских операционных систем на основе Linux для рабочих станций связано со множеством мифов, которые могут отпугивать пользователей и компании от внедрения. Разберем и развенчаем несколько самых распространенных заблуждений, касающихся информационной безопасности и корпоративного использования российских ОС на примере Astra Linux.
  • Secret Disk для Linux: прозрачное шифрование дисков на рабочих станциях
    Денис Суховей, руководитель департамента развития технологий компании Аладдин
    Secret Disk для Linux обеспечивает предотвращение утечек конфиденциальной информации с помощью шифрования на рабочих станциях с отечественными ОС семейства Linux.
  • Ideco NGFW VPP: новый высокопроизводительный подход к обработке трафика
    Дмитрий Хомутов, директор компании “Айдеко”
    К обычному Ideco NGFW. в 2023 г. добавилась высокоскоростная версия Ideco NGFW VPP. Рассмотрим, за счет чего удалось резко повысить производительность решения.

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2025
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
ТБ Форум
Проектирование и защита API на Форуме ITSEC 2025
Посетите 3-4 июня →

Еще темы...

More...