Российские организации подверглись серии кибератак с использованием вредоносного ПО Pure

Вредоносная программа Pure, впервые обнаруженная в середине 2022 года, распространяется по модели «вредоносное ПО как услуга», обеспечивая легкий доступ для любых заинтересованных лиц. Для атак используются в основном спам-письма с вложениями, выдаваемыми за архивы RAR или ссылки, ведущие на такие архивы. Примечательно, что вредоносные файлы в этих архивах часто используют специфические ключевые слова, связанные с бухгалтерской деятельностью, маскируясь под легитимные документы.

После выполнения схема заражения вредоносной программы включает различные шаги, такие как копирование себя в %AppData%, создание сценариев автозапуска, извлечение дополнительных исполняемых файлов и создание модуля бэкдора, известного как PureRAT. Этот сложный модуль использует SSL-соединения для связи с командно-контрольными серверами, передавая подробную информацию о зараженных устройствах, антивирусном ПО, операционной системе, пользовательских данных и многом другом. Через этот канал связи вредоносная программа может получать от сервера C2 инструкции и дополнительные модули для выполнения различных вредоносных операций.

Один из таких модулей, PluginWindowNotify, отслеживает активные окна на предмет определенного содержимого, делает скриншоты и отчитывается перед C2-сервером. Другой модуль, PluginClipper, предназначен для обнаружения адресов криптовалютных кошельков в буфере обмена, изменения данных, создания скриншотов и отправки информации на сервер C2. Эти возможности позволяют злоумышленникам потенциально использовать финансовые сервисы, получать доступ к конфиденциальной информации и совершать несанкционированные действия на взломанных системах. Использование плагинов с различными функциональными возможностями подчеркивает продвинутый и целенаправленный характер атак PureRAT на российские организации, а также свидетельствует об эволюции тактики, используемой киберпреступниками при осуществлении своей вредоносной деятельности.