Эксперты Positive Technologies выявили новую вредоносную кампанию на Ближнем Востоке
Специалисты группы киберразведки экспертного центра безопасности Positive Technologies (PT ESC) обнаружили и исследовали новую вредоносную кампанию, нацеленную на жителей стран Ближнего Востока и Северной Африки. Эксперты выяснили, что кампания активна с сентября 2024 г., а для распространения модифицированной версии AsyncRAT злоумышленники маскировались под новостные каналы в соцсетях и создавали рекламные посты со ссылками на файлообменник или телеграм-канал. Модификации вредоносного ПО позволяют находить данные о криптокошельках и взаимодействовать с Telegram-ботом.
В ходе исследования эксперты обнаружили около 900 потенциальных жертв, большая часть которых — обычные пользователи. Среди идентифицированных пострадавших есть сотрудники компаний из сфер нефтедобычи, строительства, информационных технологий и сельского хозяйства.
Анализ показал, что основную долю всех потенциальных жертв атаки составляют жители Ливии (49% от общего числа), Саудовской Аравии (17%), Египта (10%), а также Турции (9%), ОАЭ (7%), Катара (5%) и других стран.
Стоящую за вредоносной кампанией группировку эксперты назвали Desert Dexter — в честь одного из подозреваемых авторов. В ходе исследования атаки специалисты также выяснили, что злоумышленники создают временные аккаунты и новостные каналы в одной из крупных международных социальных сетей и обходят правила фильтрации рекламы в соцсети. Подобная атака была описана в 2019 г. экспертами компании Check Point, но сейчас наблюдается изменение некоторых техник в цепочке атаки.
«Атака представляет собой многоступенчатую цепочку, — сказал Денис Кувшинов, руководитель департамента Threat Intelligence экспертного центра безопасности Positive Technologies. — Жертва переходит из рекламного сообщения на файлообменник или в телеграм-канал злоумышленников, мимикрирующий под СМИ, откуда получает RAR-архив, содержащий вредоносные файлы. Их задача — загрузка и запуск ВПО AsyncRAT, а также сбор и отправка в Telegram-бот злоумышленников информации о системе. Применяемая версия AsyncRAT использует модифицированный модуль IdSender, который позволяет получать информацию о наличии в различных браузерах расширений для двухфакторной аутентификации, расширений криптокошельков, а также ПО для работы с ними».
Эксперты считают, что инструменты Desert Dexter не отличаются особой сложностью, однако использование рекламы в связке с легитимными сервисами и геополитическим контекстом региона позволяют им успешно заражать устройства. Они отмечают, что группировка публикует в своих постах сообщения о якобы слитой конфиденциальной информации, что делает цепочку атаки универсальной для заражения устройств не только рядовых пользователей, но и высокопоставленных чиновников.
Исследователи резюмируют, что сохранение напряженности на Ближнем Востоке и в Северной Африке приводит к большому количеству кибератак, направленных на государственные учреждения и на обычных пользователей. При этом политические взаимоотношения стран остаются одной из популярных тем для фишинга, сложность атак возрастает, а ВПО модифицируется каждой группировкой под свои нужды.
