Исследователи компании Palo Alto Networks изучали вредоносные документы Microsoft Office. Специалисты обнаружили, что многие документы были созданы при помощи генератора эксплоитов MNKit, что позволило им найти связь между разными семействами малвари, авторство которых приписывают разным группам китайских хакеров.
MNKit – один из наиболее популярных у киберпреступников генераторов эксплоитов, злоумышленники используют его уже не один год. В частности, данный инструмент помогает создавать вредоносные документы Office, эксплуатируя уязвимость CVE-2012-0158. Баг был устранен еще в 2012 году, но далеко не все устанавливают патчи.
Исследователи пишут, что в последнее время они наблюдают атаки, в ходе которых для доставки малвари на устройства жертв использовались вредоносные документы, созданные с помощью MNKit. При помощи зараженных документов злоумышленники распространяли Lurk0, NetTraveler и Saker, атакуя университеты, некоммерческие организации, а также различные политические и правозащитные группы, чья деятельность так или иначе связана с исламом и южной Азией,
Lurk0 — это классический RAT (remote access trojan), созданный на базе Gh0stRAT. Эксперты компании Citizen Lab еще в 2012 году написали о данной малвари большой отчет, когда впервые обнаружили, что вредонос атакует тибетские организации.
NetTraveler, в свою очередь, представляет собой бекдор, который обычно применяется для хищения данных, а также для установки на компьютер жертвы дополнительной малвари. О NetTraveler писали специалисты «Лаборатории Касперского» в 2013 году. Малварь была замечена в ходе кибершпионской кампании, от которой пострадали организации по всему миру, в том числе и тибетские.
Вредонос Saker также известен под названиями Xbox или Mongall, и это еще один шпионский инструмент. Считается, что Saker связан с китайской группой, которая известна как Moafee или DragonOK. Специалисты компания Proofpoint в 2015 году выявили кампанию, в ходе которой Saker применялся против российских военных и телекомов.
Эксперты Palo Alto Networks утверждают, что им удалось найти связь между перечисленными семействами малвари и атаками прошлых лет. Так, исследователи пишут, что почти во всех изученных ими случаях, злоумышленники использовали один и тот же вариант генератора эксплоитов MNKit, одинаковые email-адреса, имена прикрепленных файлов, ключи XOR, домены управляющих серверов, IP-адреса и даже жертвами их атак становились одни и те же компании и организации. Тем не менее, эксперты затрудняются сказать, кто ответственен за новые атаки сейчас.
«Установление авторства в таких случаях – сложное искусство, и кто угодно может стоять за новыми атаками, используя инфраструктуру, семейства малвари и механизмы доставки, которые так или иначе связаны с предыдущими известными инцидентами», — резюмируют эксперты.
