В атаках на энергокомпании Украины используется новое вредоносное ПО

В атаках на энергокомпании Украины используется новое вредоносное ПО

В атаках на энергокомпании Украины используется новое вредоносное ПО

Специалисты вирусной лаборатории ESET зафиксировали новую волну кибератак, нацеленную на энергетический сектор Украины.

Сценарий практически не отличается от вектора атак с применением вредоносного ПО BlackEnergy в декабре 2015 года. Злоумышленники рассылают по энергетическим предприятиям Украины фишинговые письма от лица компании «Укрэнерго» с вредоносным  документом Excel во вложении. 

Документ-приманка содержит вредоносный макрос. Похожий макрос использовался в киберкампании с применением BlackEnergy. Атакующие пытаются убедить жертву игнорировать сообщение безопасности и включить макрос, выводя на экран поддельное сообщение Microsoft Office.

Успешное исполнение макроса приводит к запуску вредоносного ПО – загрузчика (downloader), который пытается загрузить с удаленного сервера исполняемый файл и запустить его. Файл находился на украинском сервере, который был демонтирован после обращения специалистов ESET в организации реагирования на компьютерные инциденты CERT-UA и CyS-CERT.

В отличие от предыдущих атак на украинские энергетические объекты, злоумышленники использовали не троян BlackEnergy, а другой тип вредоносного ПО. Они выбрали модифицированную версию бэкдора Gcat с открытыми исходными текстами, написанную на скриптовом языке программирования Python. 

Gcat позволяет загружать в зараженную систему другие программы и исполнять команды оболочки. Прочие функции бэкдора (создание скриншотов, перехват нажатия клавиш, отправка файлов на удаленный сервер) были удалены. Управление Gcat осуществляется через аккаунт Gmail, что осложняет обнаружение вредоносного трафика в сети. 

По мнению вирусного аналитика ESET Роберта Липовски, использование вредоносного ПО с открытым исходным кодом нехарактерно для кибератак, осуществляющихся при поддержке государства (state-sponsored). Эксперт подчеркнул, что «новые данные не проливают свет на источник атак на энергосектор Украины, лишь предостерегают от поспешных выводов».

Операции со смартфонов, купленных с рук, могут блокировать

Банки вправе блокировать финансовые операции, если они совершаются с устройств, которые ранее использовались при мошеннических действиях. При этом такие смартфоны и другие гаджеты вполне могут позже попасть на вторичный рынок. Проблема усугубляется тем, что информация о «скомпрометированных» устройствах не является публичной — Банк России хранит её в закрытой базе с ограниченным доступом.

О существующем риске предупредил в комментарии для РИА Новости адвокат межтерриториальной коллегии адвокатов «Клишин и партнёры» Дмитрий Пашин.

«Банк имеет право заблокировать операцию с денежными средствами, если у него возникли подозрения, что она совершается в целях легализации (отмывания) доходов, полученных преступным путём, или финансирования терроризма. Подозрение у банков может вызвать любая операция, при которой перевод осуществляется с устройства, ранее использовавшегося в мошеннических целях», — пояснил юрист.

Чтобы снизить такие риски, Дмитрий Пашин рекомендует приобретать смартфоны и другие мобильные устройства только у официальных продавцов либо у тех, в отношении кого нет сомнений, что гаджет не использовался для сомнительных финансовых операций.

Дополнительную угрозу представляет и заражение мобильных устройств. Так, по данным компании F6, около 1,5% смартфонов в России содержат вредоносные приложения. Почти 90% таких случаев приходятся на два зловреда — Mamont и NFCGate различных версий. Оба используются для кражи денежных средств со счетов пользователей.

RSS: Новости на портале Anti-Malware.ru