Активность хакерской группы Shadow Vector, направленная на пользователей в Колумбии, продолжает набирать обороты. Согласно данным исследователей Acronis Threat Research Unit (TRU), злоумышленники используют сложные методы обмана, включая фишинговые письма, маскирующиеся под официальные уведомления судебных органов. Вложения в этих письмах содержат вредоносные SVG-файлы, которые при открытии загружают на устройство жертвы опасные программы, такие как AsyncRAT и RemcosRAT. Эти трояны предоставляют злоумышленникам полный контроль над заражёнными системами, включая кражу данных, мониторинг активности и даже потенциальное развёртывание ransomware.
Описание
Атака начинается с рассылки электронных писем, стилизованных под официальные документы судов Колумбии. Вложения в этих письмах - SVG-файлы, которые при открытии перенаправляют пользователей на загрузку вредоносных скриптов с публичных файлообменников, таких как Bitbucket, Dropbox и Discord. Для усложнения анализа злоумышленники защищают ZIP-архивы паролями, которые указываются в самом письме или в SVG-файле. Это вынуждает жертв вручную извлекать содержимое, снижая вероятность автоматического обнаружения угрозы системами безопасности.
После запуска вредоносного кода начинается многоэтапный процесс заражения. Используется техника DLL side-loading, когда легитимная программа загружает поддельную DLL, которая, в свою очередь, запускает RAT-троян. Для повышения привилегий злоумышленники эксплуатируют уязвимости в драйверах, таких как WiseCleaner (CVE-2023-1486) и Zemana (CVE-2022-42045), что позволяет им обходить защитные механизмы операционной системы.
Одна из ключевых особенностей Shadow Vector - использование сложных методов обфускации. Например, вредоносный код скрывается в Base64-строках, встроенных в изображения или текстовые файлы, размещённые на Archive.org. Это затрудняет обнаружение угрозы антивирусными решениями. Кроме того, злоумышленники активно применяют методы противодействия анализу: проверяют наличие виртуальных машин, отладчиков и даже размер жёсткого диска, чтобы избежать запуска в песочнице.
Финальная стадия атаки включает установку бекдора, который передаёт злоумышленникам данные жертвы, включая логины, пароли, историю браузера и даже содержимое криптокошельков. Угроза особенно опасна для организаций, так как позволяет хакерам не только воровать конфиденциальную информацию, но и потенциально блокировать системы с помощью ransomware.
Власти Колумбии уже предупреждали граждан о подобных схемах, однако атаки продолжаются. Эксперты рекомендуют соблюдать осторожность при открытии вложений в электронных письмах, особенно если они запрашивают загрузку дополнительных файлов. Также важно регулярно обновлять ПО и использовать надёжные решения для защиты от кибератак.
Shadow Vector демонстрирует высокий уровень технической подготовки злоумышленников и их способность адаптироваться к мерам защиты. Эта кампания подчёркивает растущую угрозу целевых атак в Латинской Америке, где киберпреступники активно используют социальную инженерию и сложные методы заражения.
Индикаторы компрометации
