Новые угрозы в вузах Великобритании: анализ троянских программ NodeSnake от Quorum Cyber
В начале 2025 года команда Quorum Cyber провела глубокий анализ двух троянских программ удаленного доступа (RATs) — NodeSnake.A и NodeSnake.B. Эти вредоносные программы были связаны с инцидентами в высших учебных заведениях Великобритании и представляют собой новый уровень сложности в мире киберугроз. Разработанные на JavaScript с использованием NodeJS, они демонстрируют поэтапное развитие функционала и тактик злоумышленников.
Особенности и эволюция NodeSnake
NodeSnake.B является усовершенствованной версией предшественника и обладает следующими ключевыми характеристиками:
- Возможность выполнения команд в режиме реального времени;
- Динамическая настройка поведения в процессе эксплуатации;
- Модульная полезная нагрузка и расширенные интерактивные функции;
- Повышенная скрытность и сложные методы обфускации.
Это выходит за рамки традиционного сбора данных и вводит новые режимы взаимодействия с заражённой системой.
Методы атаки и технические детали
Вредоносное ПО использует ряд техник, классифицированных в MITRE ATT&CK, среди которых выделяются:
- Использование легитимных учетных записей (T1078) для обхода аутентификации;
- Запуск JavaScript-скриптов для выполнения команд (T1059.007);
- Автоматический запуск при старте системы с помощью записей в реестре (T1547.001);
- Методы обфускации для сокрытия операций (T1027);
- Системная разведка (T1082) и сбор информации о целевых устройствах;
- Экфильтрация данных через протоколы прикладного уровня и каналы командования и контроля (T1071.001, T1041).
Особое внимание злоумышленники уделяют поддержанию постоянного доступа, внедряя случайные записи в реестр и используя прокси-серверы Cloudflare для сокрытия серверов C2.
Связь с группой Interlock и особенности ее операций
Анализ Quorum Cyber выявил прямую связь NodeSnake с группой программ-вымогателей Interlock. Эта группа מוכרת кампаниями двойного вымогательства, направленными на предприятия Северной Америки и Европы. Важной отличительной чертой Interlock является отказ от модели «Ransomware-as-a-Service» (RaaS), что указывает на уникальные операционные стратегии.
Ключевые особенности операций Interlock:
- Использование туннелей Cloudflare для скрытого доступа к критическим сервисам (SSH, RDP, SMB);
- Обход традиционных мер безопасности за счёт простоты и минимальной настройки таких туннелей;
- Фокус на сохранении скрытного и постоянного доступа к инфраструктуре жертв.
Рекомендации по защите от NodeSnake и связанных угроз
Учитывая возрастающую сложность и изощрённость вредоносных программ серии NodeSnake, образовательные учреждения и иные организации должны усилить свои меры защиты. Для минимизации риска рекомендуются следующие контрмеры:
- Внедрение политики нулевого доверия (Zero Trust), ограничивающей доступ и контролирующей поведение пользователей и устройств;
- Регулярное обновление и патчинг программного обеспечения для устранения известных уязвимостей;
- Повышение осведомленности пользователей о методах социальной инженерии и принципах кибербезопасности;
- Использование надежных средств защиты конечных точек с возможностями обнаружения сложных угроз;
- Мониторинг и анализ сетевой активности с целью выявления аномальных подключений и использования прокси.
_NodeSnake_ и связанные с ним угрозы демонстрируют современный этап эволюции кибератак, где комбинируются скрыватели, динамические нагрузки и сложные тактические приемы, что требует от специалистов по безопасности повышенного внимания и комплексного подхода.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
Оригинал публикации на сайте CISOCLUB: "Анализ NodeSnake: эволюция RAT и угрозы для вузов Великобритании".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube.