Угрозы

Исследователи Kaspersky Lab обнаружили многочисленные попытки заражения иностранных дипломатических структур в Иране шпионским вредоносным ПО, созданным непрофессионально. Атаки, по данным экспертов, проводятся с использованием обновлённого бэкдора Remexi, а также некоторых легитимных инструментов. Этот бэкдор предположительно связан с киберпреступной группой Chafer, говорящей на фарси. Ранее она была замечена в киберслежке за людьми на Ближнем Востоке.

Стоит отметить, что в развивающихся регионах злоумышленники проводят вредоносные кампании, применяя относительно простое самодельное ПО в сочетании с общедоступными инструментами. В данном случае киберпреступники использовали улучшенную версию бэкдора Remexi, предназначенного для удалённого администрирования компьютера жертвы.

Бэкдор Remexi был впервые обнаружен в 2015 году, когда он использовался кибершпионской группой Chafer для незаконной слежки за отдельными лицами и рядом организаций по всему Ближнему Востоку. И вредоносное ПО, применяемое в новой кампании, имеет сходство с известными образцами Remexi, утверждают исследователи Kaspersky Lab.

Этот зловред может выполнять команды удалённо и перехватывать скриншоты, данные браузера (включая учётные данные пользователя), данные авторизации и историю, а также любой набранный текст. Украденные сведения эксфильтруются с помощью легитимного приложения Microsoft Background Intelligent Transfer Service (BITS) – компонента Windows, предназначенного для включения фоновых обновлений. Объединение вредоносного ПО с легитимным кодом помогает злоумышленникам экономить время и ресурсы и усложнять атрибуцию.

"Часто за кампаниями по кибершпионажу стоят высококвалифицированные люди. Анализируя такие инциденты, можно увидеть достаточно продвинутые техники и сложные инструменты. В этом случае злоумышленники используют достаточно простое вредоносное ПО. Безусловно, создано оно самостоятельно, и программисты у них есть. Однако, помимо этих разработок, они «творчески» используют уже существующие легитимные приложения, а не стремятся к сложной самостоятельной разработке. Не нужно считать их любителями, этот подход имеет с точки зрения злоумышленников свои преимущества (скорость разработки, сложность атрибуции), и подобные атаки вполне способны нанести значительный ущерб. Мы призываем организации защищать ценную информацию и системы ото всех видов угроз", – подчеркнул Денис Легезо, антивирусный эксперт Kaspersky Lab.

Продукты Kaspersky Lab детектируют обновлённое вредоносное ПО Remexi как Trojan.Win32.Remexi и Trojan.Win32.Agent.

Полная версия отчёта доступна по ссылке https://securelist.com/chafer-used-remexi-malware/89538/.

Для защиты от шпионского вредоносного ПО Kaspersky Lab рекомендует придерживаться ряда правил: