Новая группировка – оператор опасного вредоносного программного обеспечения, – которую исследователи назвали Dark River, целенаправленно атакует предприятия российского оборонно-промышленного комплекса (ОПК), вкладывая серьёзные финансовые и интеллектуальные ресурсы в развитие своего инструментария, сообщает Positive Technologies в среду.

Проработанные на высоком уровне архитектура и транспортная система позволяют бэкдору незаметно действовать в скомпрометированной инфраструктуре в течение долгого времени с целью шпионажа и кражи конфиденциальной информации, сказано в сообщении.

Специалисты компании впервые подробно исследовали внутреннее устройство и механизмы работы сложного модульного бэкдора MataDoor, обнаруженного при расследовании инцидента в прошлом году.

Как говорится в сообщении, Dark River тщательно подходит к выбору своих жертв и действует точечно. В настоящее время известно несколько случаев применения MataDoor в кибератаках, все они были нацелены на крупные организации, связанные с ОПК. Бэкдор хорошо маскируется: имена его исполняемых файлов похожи на названия легального ПО, установленного на заражённых устройствах, а ряд образцов имеет действительную цифровую подпись. Чтобы максимально усложнить обнаружение зловреда, его разработчики использовали различные виды утилит-упаковщиков, скрывающих вредоносный код.

Группировка не стала использовать готовые инструменты, многие протоколы намеренно реализованы разработчиком самостоятельно. Большая и сложная транспортная система позволяет гибко настраивать коммуникацию с командой оператора, с сервером, чтобы оставаться скрытым и незамеченным. Это вредоносное ПО может действовать даже в логически изолированных сетях, вытаскивать и передавать данные откуда угодно, говорится в сообщении.

Исследователи считают, что внедрение бэкдора начинается с фишингового письма, к которому злоумышленники прикрепляют документ в формате .DOCX, выглядящий правдоподобно для сферы деятельности атакованного предприятия. Особенность бэкдора заключается в том, что он побуждает получателя включить режим редактирования документа — просто открыть вложение недостаточно. Это является необходимым условием для внедрения эксплойта. Похожие письма, содержащие документы с эксплойтами для уязвимости CVE-2021-40444, рассылались на российские предприятия ОПК в августе-сентябре 2022 года. Например, злоумышленники намеренно использовали в тексте документа неконтрастный шрифт. Чтобы его прочитать, пользователь менял цвет шрифта, запуская режим редактирования. Одновременно с этим происходила загрузка и выполнение вредоносной полезной нагрузки с контролируемого киберпреступниками ресурса.

См. также: Киберугрозы-2022: результаты анализа Positive Technologies >>> 

Для защиты корпоративных систем от внедрения бэкдора MataDoor эксперты Positive Technologies рекомендуют принимать проактивные меры: использовать песочницы, позволяющие выявлять даже такое сложное вредоносное ПО с помощью анализа поведения файлов в виртуальной среде, а также анализаторы трафика.

Dark River применяет почтовый фишинг, поэтому специалисты советуют придерживаться стандартных правил кибергигиены: осторожнее относиться к входящим электронным письмам, сообщениям в мессенджерах и социальных сетях, не переходить по сомнительным ссылкам и не открывать подозрительные вложения.

Поскольку в некоторых атаках киберпреступники использовали взломанные почтовые ящики, необходимо учесть, что они могут прибегнуть к социальной инженерии. В связи с этим стоит также тщательно оценивать следующие аспекты: есть ли в письме нетипичные для переписок в вашей компании вложения, верна ли подпись, мог ли вам написать отправитель и насколько его вопрос адекватен вашей сфере ответственности.