Хакеры атакуют российские госучреждения через «Живой Журнал»
Для первоначального заражения организаций злоумышленники рассылали письма с архивами во вложении. Внутри этих архивов находились вредоносные ярлыки, замаскированные под документы. При нажатии на ярлыки начиналась установка троянской программы, взаимодействующей со злоумышленниками при помощи облачного хранилища Dropbox.
После проникновения в сети организаций злоумышленники запускали на заражённых компьютерах вредоносные программы, предназначенные для кибершпионажа. Одной из них оказалась обновлённая версия бэкдора CloudSorcerer, о котором «Лаборатория Касперского» сообщила в начале июля. Примечательно, что вскоре после публикации об этом бэкдоре злоумышленники усовершенствовали его, добавив в него возможность использовать российскую социальную сеть «Живой Журнал» в качестве первоначального командного сервера. Данное нововведение было разработано, чтобы тщательнее маскировать активность бэкдора.
Помимо CloudSorcerer, на компьютеры также загружались вредоносные инструменты, используемые говорящими на китайском языке кибергруппами APT27 и APT31. Эти зловреды обладают обширным функциональностью: они позволяют злоумышленникам осуществлять кражу файлов, наблюдать за действиями на экране и записывать нажатия клавиш на заражённых устройствах.
«В рамках кампании EastWind злоумышленники стараются тщательно маскировать свою вредоносную активность, используя для этого популярные веб-сайты, такие как Dropbox и „Живой Журнал”. Стоит также отметить, что в ходе обнаруженных атак применялось вредоносное ПО двух групп, которые при этом говорят на одном языке — китайском. Это является признаком того, что данные группы работают совместно, активно обмениваются знаниями и инструментами для атак. Как показывает практика, подобное взаимодействие позволяет продвинутым злоумышленникам работать более эффективно», — комментирует Георгий Кучерин, эксперт Kaspersky GReAT.
