Хакерская группировка Fancy Bear провела новую шпионскую кампанию

image

Теги: Fancy Bear, хакеры, фишинг

Вредоносное ПО доставляется через фишинговые письма, содержащие документ о конференции по защите.

Исследователи безопасности из компании Palo Alto Networks сообщили о новой фишинговой кампании, за которой стоит хакерская группировка Fancy Bear, предположительно связанная с властями РФ.

По словам исследователей, активность хакеров была зафиксирована дважды, 12 и 14 марта 2018 года. Для осуществления атак группировка использует обновленную версию платформы DealersChoice, которая эксплуатирует уязвимость в Adobe Flash для скрытой доставки вредоносного ПО.

Обновленная версия DealersChoice использует новую технику ухода от обнаружения. В частности, вредоносный модуль загружается только тогда, когда просматривается конкретная страница вредоносного документа, содержащегося в фишинговых письмах.

Жертвой фишинга стала некая европейская правительственная организация (название не раскрывается). Сотрудники организации получили письма с темой «Оборона и безопасность 2018». Письма содержат документ MS Word, озаглавленный «Defence & Security 2018 Conference Agenda.docx».

Как отметили исследователи, атакующие полностью скопировали повестку дня реальной конференции, которая состоится в Великобритании. Если пользователь открывает вложение Microsoft Word, объект Flash, содержащий вредоносный скрипт, пытается установить полезную нагрузку, однако скрипт запускается только в том случае, если жертва прокрутит документ до третьей страницы.

«Судя по всему хакеры уверены в том, что их цели будут достаточно заинтересованы в содержании, чтобы прокрутить документ до 3 страницы», - отметили эксперты.

По словам специалистов, вредоносный Flash-объект не запускается до тех пор, пока пользователь не дойдет до третьей страницы, поскольку SWF-загрузчик DealersChoice не активируется до тех пор, пока не появится на экране. Данная тактика помогает вредоносу избежать обнаружения. Вредоносный Flash-объект отображается как маленькая черная точка, которую многие пользователи могут просто не заметить.

После активации Flash-объект связывается с C&C-сервером для загрузки дополнительного вредоносного ПО, которое содержит код эксплоита.

Исследователи связали данную кампанию с Fancy Bear, поскольку в свойствах документа имя пользователя, в последний раз вносившего изменения, было обозначено как Nick Daemoji. Данное имя пользователя фигурировало в предыдущих кампаниях Fancy Bear.

Telegram Подписывайтесь на канал "SecurityLab" в Telegram, чтобы первыми узнавать о новостях и эксклюзивных материалах по информационной безопасности.