Эксперты предупредили о возможных атаках Fancy Bears на Олимпиаду-2018

Как ранее сообщал SecurityLab, хакерская группировка Fancy Bears опубликовала конфиденциальную переписку членов Международного олимпийского комитета (МОК), проливающую свет на борьбу между МОК и Всемирным антидопинговым агентством (WADA) за главенство в мире спорта. Теперь же эксперты ИБ-компании ThreatConnect предупреждают о возможных будущих атаках группировки на Олимпиаду-2018 в Пхенчхане (Южная Корея).

Исследователи ThreatConnect идентифицировали поддельные домены, имитирующие настоящие домены WADA, Антидопингового агентства США (USADA) и Олимпийского совета Азии (OCASIA). «Эти подозрительные домены имеют связь с остальной идентифицированной ранее инфраструктурой Fancy Bear (Fancy Bears – ред.) и наводят на мысль о более обширной кампании против грядущих зимних игр 2018 года», – сообщают исследователи.

Эксперты уведомили затронутые организации об обнаруженных поддельных доменах. Тем не менее, в настоящее время они не могут с уверенностью сказать, действительно ли домены являются частью используемой Fancy Bears инфраструктуры, или были умышленно связаны с ней кем-то еще с целью запутать следы.

В ходе мониторинга доменов, зарегистрированных регистратором, которым обычно пользуются Fancy Bears, исследователи обнаружили домен webmail-usada[.]org, подделанный под настоящий домен USADA. Домен был зарегистрирован 21 декабря 2017 года и использует DNS Domains4Bitcoins, ранее уже использовавшийся Fancy Bears. По состоянию на 10 января 2018 года он размещался на выделенном сервере с IP-адресом 185.189.112[.]242.

Домен был зарегистрирован с использованием защиты приватности, однако ресурсные записи DNS для webmail-usada[.]org указывают на то, что он был зарегистрирован на электронный адрес jeryfisk@tuta[.]io. С помощью инструмента Iris от компании DomainTools исследователи выявили, что вышеуказанный адрес недавно также использовался для регистрации еще одного поддельного домена USADA – usada[.]eu. В настоящее время его хостинг отсутствует. Никаких других доменов, зарегистрированных на этот адрес, исследователи не обнаружили.

Эксперты также обнаружили третий домен – wada-adams[.]org, зарегистрированный 14 декабря 2017 года на электронный адрес wadison@tuta[.]io. Домен маскировался под настоящий домен WADA и систему антидопингового администрирования и менеджмента АДАМС. Домен ocaia[.]org, подделанный под легитимный домен OCASIA, был зарегистрирован 25 декабря 2017 года и использует DNS THCServers, также ранее использовавшийся Fancy Bears.