Компания ViPNet, разработчик программного обеспечения, подтвердила факт сложной целевой атаки на различные крупные организации в России, в том числе государственные, финансовые и промышленные. В ходе атаки был создан сложный бэкдор, который распространялся в архивах, имитирующих обновления программного обеспечения ViPNet. Эти архивы содержали несколько файлов, включая легитимный исполняемый файл, небольшой вредоносный исполняемый файл и зашифрованный файл полезной нагрузки с разным именем в каждом архиве.
Описание
В ходе расследования выяснилось, что бэкдор нацелен на компьютеры, подключенные к сетям ViPNet. Атака использовала компонент ViPNet Update Service, itcsrvup64.exe, выполняя действие, указанное в текстовом файле action.inf, находящемся в архиве. Указанное действие предписывало службе запустить легитимный файл lumpdiag.exe с аргументом --msconfig. Однако из-за подмены пути выполнения вместо него запускался вредоносный файл msinfo32.exe.
Файл msinfo32.exe выступал в роли загрузчика зашифрованного файла полезной нагрузки. Эта полезная нагрузка отвечала за загрузку бэкдора в память зараженного компьютера. Бэкдор обладал различными возможностями, в том числе способностью устанавливать TCP-соединение с управляющим сервером. Это позволяло злоумышленнику похищать файлы со взломанных систем и устанавливать дополнительные вредоносные компоненты. Лаборатория Касперского идентифицировала бэкдор как HEUR:Trojan.Win32.Loader.gen.
Компания ViPNet выпустила обновления продуктов и рекомендации, чтобы помочь пострадавшим организациям защититься от этой атаки с использованием бэкдора. Расследование еще продолжается, но публикация предварительных результатов направлена на повышение осведомленности и на то, чтобы организации, подверженные этой угрозе, могли принять незамедлительные меры.
Эта целенаправленная атака на российские организации подчеркивает эволюционирующий и изощренный характер киберугроз. Она подчеркивает важность сохранения бдительности, обновления программного обеспечения и применения надежных мер безопасности для защиты конфиденциальной информации и критически важной инфраструктуры.
Индикаторы компрометации
