🔵 Применимость вирусного ПО к продуктам ViPNet
В отношении публикации Лаборатории Касперского от 17 апреля 2025 «Новый бэкдор атаковал десятки российских организаций» компания «ИнфоТеКС» заявляет следующее:
Инцидент с проведением сложной целевой атаки у ряда пользователей продуктов ViPNet, реализующих функции организации защищенных VPN-сетей и межсетевого экранирования, подтверждаем.
Выявленный вектор атаки может быть реализован только злоумышленником, обладающим доступом к произвольному узлу ViPNet с правами администратора операционной системы, глубокими знаниями механизмов построения сетей ViPNet и ключом подписи действующего сертификата пространства доверия внутренней сети организации. Вектор атаки направлен на нелегитимное использование транспортного протокола ViPNet сети (mftp) и имитирует конверты обновления программного обеспечения продуктов ViPNet. При этом целевые функции защиты информации продуктов ViPNet не затрагиваются.
⚪️ В случаях использования на узлах защищенной сети ViPNet, а также связанных с нею других защищенных сетях ViPNet, сертифицированных версий продуктов ViPNet 4-го поколения с выполнением всех требований эксплуатационной документации и правил пользования, реализация атаки невозможна. Все продукты ViPNet класса КВ, 5-го поколения и продукты промежуточного поколения 4U, атаке не подвержены.
В том случае, если ваша сеть связана с другими защищенными сетями, за администрирование которых Вы не отвечаете и не можете гарантировать выполнение по отношению к ним вышеуказанных требований, следует убедиться в отсутствии признаков заражения на узлах своей сети:
▫️ Проверить отсутствие файла msinfo32.exe (можно сопоставить с хэш-суммой указанной в IoC-файле YARA-правила):
- в директории - %TEMP%\update_tmp*\update\
- в директории - %PROGRAMFILES%\common files\infotecs\update_tmp\driv_*\*\
- по всей файловой системе, исключая папку Windows
▫️ Убедиться в отсутствии событий с кодом 4688 и следующим содержанием xml: «NewProcessName = msinfo32.exe» в системном журнале security.evtx
При наличии указанных признаков, а также при обнаружении подозрительной сетевой активности с узлов ViPNet на Координаторы и элементы инфраструктуры организации, незамедлительно обращайтесь в службу технического сопровождения ИнфоТеКС.
Полный текст новости