Новая фишинговая кампания APT-группировки SideWinder использует фейковое VPN-приложение для Android в качестве приманки. В связке с этим софтом злоумышленники также задействуют кастомный инструмент для фильтрации жертв и более качественного таргетирования.
Киберпреступная группа SideWinder активна как минимум с 2012 года. Считается, что родом APT из Индии, а уровень подготовки и квалификация хакеров внушает уважение даже опытным исследователям.
Специалисты «Лаборатории Касперского» за последние два года отметили около тысячи кибератак, связанных с SideWinder. Среди жертв группировки встречались организации из Пакистана, Китая, Непала и Афганистана.
Злоумышленники выстраивают свои кампании за счёт довольно крупной инфраструктуры, включающей более 92 IP-адресов. Всё это используется для фишинговых рассылок, хостинга сотен доменов и поддоменов, выступающих в качестве командных центров (C2).
На новые атаки SideWinder обратили внимание специалисты компании Group-IB, отметившие, что группировка создала множество веб-сайтов, замаскированных под официальные государственные домены Пакистана:
- finance.pakgov[.]net
- vpn.pakgov[.]net
- csd.pakgov[.]net
- hajj.pakgov[.]net
- nadra.pakgov[.]net
- pt.pakgov[.]net
- flix.pakgov[.]net
- covid.pakgov[.]net
В ходе исследования эксперты выяснили, что фишинговая ссылка перенаправляет жертв на сайт securevpn.com. А в официальном магазине Android-приложений Google Play Store специалисты нашли фейковый софт “Secure VPN“, который был скопирован с NordVPN.
Пробравшись в систему жертвы, троян отправляет на командный сервер информацию об устройстве, включая геолокацию и статус аккумулятора. Помимо этого, вредонос может извлекать конфиденциальные данные на устройстве.
