Касперский обнаружил атаки группировки NightEagle на российские компании

Лаборатория Касперского выявила атаки группировки NightEagle (APT-Q-95) на инфраструктуру российских предприятий. Группировка, активная с 2023 года и изначально нацеленная на организации в Азии, получала доступ к корпоративным VPN через скомпрометированные учетные записи. Атакующие использовали IP-адреса из российского сегмента, связанные с туннелями Cloudflare WARP, а также адреса европейских провайдеров виртуальной инфраструктуры.

На серверах Microsoft Exchange злоумышленники размещали бэкдор GhostContainer, собранный из компонентов с открытым исходным кодом, включая туннель Neo-reGeorg и эксплойт для CVE-2020-0688. Атакующие извлекали криптографические ключи из конфигурации ASP.NET и внедряли полезную нагрузку через параметр VIEWSTATE.