В 2023 году один из медиаресурсов стал жертвой изощренной кибератаки, в ходе которой злоумышленники использовали метод "водяной дыры" для заражения компьютеров пользователей. Атака была спланирована таким образом, чтобы жертвы даже не подозревали о компрометации своих устройств. Вредоносное ПО распространялось через поддельный веб-сайт, который загружал на компьютеры пользователей опасные файлы, маскируя их под легитимное программное обеспечение.
Описание
Атака начиналась с того, что пользователи, посещавшие скомпрометированный сайт, сталкивались с автоматической загрузкой LZH-файла. Этот архивный формат не является распространенным, поэтому многим жертвам предлагалось установить специальное ПО для его распаковки. Однако вместо безопасного инструмента пользователи получали вредоносный LNK-файл, который, в свою очередь, содержал ZIP-архив с опасным содержимым. Внутри архива находился VBS-скрипт, отвечающий за извлечение и запуск вредоносного кода, а также легитимный файл iusb3mon.exe, который использовался для маскировки атаки.
Основным вредоносным компонентом оказалась библиотека dmiapi32.dll, которая добавляла в систему новую сессию с названием newimp и загружала дополнительные модули. Главным зловредом в этой атаке стал SQRoot - многофункциональный троян, способный загружать дополнительные плагины с сервера злоумышленников. Эти плагины включали в себя RAT (Remote Access Trojan), позволяющий злоумышленникам удаленно контролировать зараженную машину, а также shell-коды для выполнения произвольных команд.
Особенностью SQRoot была его способность шифровать передаваемые данные, что затрудняло обнаружение атаки системами защиты. Кроме того, троян работал только в определенные часы - с 9:00 до 18:00 по будням, имитируя обычный веб-трафик и снижая вероятность обнаружения. Помимо SQRoot, на зараженных компьютерах был обнаружен еще один опасный модуль - SQRoot Stealer, специализирующийся на краже конфиденциальных данных. Этот зловред мог перехватывать нажатия клавиш (keylogger), делать скриншоты экрана и передавать украденную информацию на серверы злоумышленников.
Анализ инцидента показал, что злоумышленники использовали несколько файлов с поддельными именами, такими как nvSmart.exe, nusmartmax.dll, iusb3mon.exe и iusb3mon.dll, чтобы избежать обнаружения антивирусными решениями. Несмотря на тщательное расследование, атрибуция атаки до сих пор остается под вопросом - неизвестно, какая именно киберпреступная группа стояла за этой кампанией.
Эксперты по кибербезопасности рекомендуют пользователям соблюдать повышенную осторожность при загрузке файлов с непроверенных сайтов, особенно если речь идет о редких форматах архивов. Также важно регулярно обновлять антивирусное ПО и использовать средства защиты от фишинга и других видов кибератак. Данный инцидент в очередной раз демонстрирует, насколько изощренными становятся методы киберпреступников и почему важно оставаться бдительными в цифровом пространстве.
Индикаторы компрометации
