С начала марта 2025 года специалисты «Лаборатории Касперского» зафиксировали резкий рост заражений вредоносным ПО, получившим название Batavia. Этот шпионский инструмент атакует российские организации, используя фишинговые письма с вредоносными ссылками. Цель злоумышленников - кража внутренних документов, включая финансовые отчеты, договоры и переписку. Атака началась еще в июле 2024 года и продолжается до сих пор, что свидетельствует о масштабной и хорошо организованной кампании.
Описание
Аналитики обнаружили, что вредоносная программа состоит из нескольких компонентов: VBA-скрипта и двух исполняемых файлов, которые работают последовательно, обеспечивая глубокое проникновение в систему. Решения «Лаборатории Касперского» идентифицируют эти угрозы как HEUR:Trojan.VBS.Batavia.gen и HEUR:Trojan-Spy.Win32.Batavia.gen. Атака начинается с рассылки писем, маскирующихся под деловую переписку. Например, сотрудникам отправляют сообщения с просьбой скачать «договор» по ссылке, которая на самом деле ведет на вредоносный сервер.
Первый этап - запуск VBS-скрипта. Пользователь получает письмо с вложением, которое выглядит как документ, но при открытии загружает зашифрованный VBE-файл. Этот скрипт обращается к командному серверу злоумышленников и получает инструкции для дальнейших действий. В частности, он определяет версию операционной системы и загружает второй этап вредоносной программы - файл WebView.exe, написанный на Delphi.
На втором этапе зловред начинает сбор данных. Он ищет офисные документы (Word, Excel, PDF), системные журналы и даже делает скриншоты экрана. Все собранные файлы отправляются на сервер злоумышленников. Чтобы избежать дублирования, вредонос использует хеш-суммы, сохраняя их в специальном файле. После этого Batavia загружает третий компонент - javav.exe, который расширяет функционал шпиона, добавляя сбор изображений, архивов и электронных писем.
Третий этап - наиболее опасный. Помимо кражи документов, зловред получает команды с сервера и может загружать дополнительные модули. Один из них, windowsmsg.exe, запускается с помощью техники обхода контроля учетных записей (UAC), что позволяет ему действовать с повышенными привилегиями. Это дает злоумышленникам почти полный контроль над зараженной системой.
Основной мишенью Batavia стали промышленные предприятия в России. По данным «Лаборатории Касперского», атаке подверглись сотрудники более чем 100 организаций. Учитывая характер украденных данных (договоры, финансовые отчеты), можно предположить, что злоумышленники стремятся получить доступ к коммерческой тайне или использовать информацию для шантажа.
Эксперты рекомендуют сотрудникам компаний соблюдать осторожность при работе с вложениями и ссылками в письмах, особенно если отправитель неизвестен или тема сообщения вызывает подозрения. Ключевые меры защиты включают:
- Использование антивирусных решений с функцией поведенческого анализа.
- Ограничение прав пользователей для предотвращения запуска подозрительных скриптов.
- Регулярное обучение персонала основам кибербезопасности.
- Мониторинг сетевой активности на предмет подозрительных соединений.
Batavia - это не просто очередной троян, а сложный инструмент для целевого шпионажа. Его появление свидетельствует о том, что киберпреступники продолжают совершенствовать методы атак на корпоративный сектор. Без своевременного реагирования и комплексной защиты компании рискуют потерять критически важные данные.
Шпионская программа Batavia представляет серьезную угрозу для российского бизнеса. Ее многоэтапный механизм заражения и возможность загрузки дополнительных модулей делают атаку особенно опасной. Организациям необходимо усилить меры безопасности, чтобы избежать утечки конфиденциальной информации. «Лаборатория Касперского» продолжает отслеживать активность Batavia и рекомендует пользователям оставаться бдительными.
Индикаторы компрометации
