Согласно отчету, опубликованному Symantec, цепочка атак выглядит так:
Атака начинается с рассылки фишинговых сообщений, в которые вшит самораспаковывающийся 7-Zip архив, содержащий в себе файл mshta.exe;
Архив загружается в систему жертвы через браузер, используемый системой по умолчанию;
Исполняемый файл загружает XML-файл, который маскируется под .hta файл;
Следом за XML-файлом в системе жертвы развертывается инфостилер, написанный на PowerShell.
Специалистам компании удалось обнаружить три разные версии одного и того же инфостилера . По их мнению, такая стратегия используется для обхода систем безопасности.
Все файлы, использующиеся в атаке, были размещены на субдомене, связанном с Gamaredon . Инфостилер, который злоумышленники развертывают в системе жертвы, получил название GammaLoad.PS1_v2. В некоторых случаях хакеры также развертывали два бэкдора под названиями Giddome и Pteredo, которые входят в арсенал Gamaredon.
Pteredo – это многоступенчатый VBS-бэкдор, используемый злоумышленниками для кражи конфиденциальной информации или поддержания доступа к взломанным устройствам.
Giddome – продвинутый бэкдор, имеющий множество различных функций: запись звука, создание скриншотов, кейлоггинг, а также загрузку и выполнение произвольных исполняемых файлов на зараженных узлах.
А чтобы получить удаленный доступ к устройствам жертв, злоумышленники использовали инструменты Ammyy Admin и AnyDesk.
Symantec уже выложила индикаторы компрометации для этой вредоносной кампании.
Источник: SecurityLab