Cercetătorii Kaspersky Lab au detectat numeroase tentative de a infecta entități diplomatice străine, din Iran, cu un spyware dezvoltat in-house. Atacurile par să folosească un backdoor Remexi actualizat. De asemenea, au fost detectate mai multe instrumente legitime în cadrul campaniei. Backdoor-ul Remexi are legătură cu un grup de spionaj cibernetic vorbitor de limba farsi, cunoscut ca Chafer, asociat anterior cu monitorizarea cibernetică a unor persoane fizice din Orientul Mijlociu. Vizarea ambasadelor ar putea să sugereze o reorientare a grupului.
Operațiunea demonstrează cum atacatori din regiuni emergente pun la cale campanii împotriva unor ținte de interes, folosind un malware relativ elementar, făcut „acasă”, plus unele instrumente publice. În acest caz, atacatorii au folosit o versiune îmbunătățită a backdoor-ului Remexi, care permite administrarea de la distanță a dispozitivului victimei.
Remexit a fost detectat pentru prima dată în 2015, fiind folosit de un grup de spionaj cibernetic denumit Chafer, pentru o operațiune de urmărire ce viza persoane fizice și o serie de organizații din Orientul Mijlociu. Faptul că backdoor-ul folosit în noua campanie are similarități cu mostre Remexi cunoscute, corelat cu grupul de victime, i-a determinat pe cercetătorii Kaspersky Lab să-l asocieze cu Chafer.
Malware-ul Remexi descoperit recent poate executa comenzi la distanță și să realizeze capturi de ecran, să fure date din browser, inclusiv detalii de autentificare, istoric și orice text tastat, printre altele. Informațiile furate erau extrase folosind aplicația legitimă Microsoft Background Intelligent Transfer Service (BITS) – o componentă Windows creată pentru a permite actualizările Windows în background. Tendința de a îmbina malware-ul cu un cod legitim îi ajută pe atacatori să economisească timp și resurse și să facă procesul de atribuire mai complicat.
„Atunci când vorbim de campanii de spionaj cibernetic sponsorizate de state, lumea își imaginează adesea operațiuni avansate, cu instrumente complexe, dezvoltate de experți”, spune Denis Legezo, security researcher la Kaspersky Lab. „Însă oamenii din spatele acestei campanii spyware par mai degrabă niște administratori de sistem decât atacatori experimentați: știu să codifice, dar campania lor se bazează mai mult pe folosirea creativă a unor instrumente care există deja decât pe caracteristici avansate sau pe o arhitectură elaborată a codului. Cu toate acestea, chiar și instrumente relativ simple pot cauza pagube semnificative, astfel că le recomandăm organizațiilor să își protejeze informațiile și sistemele împotriva oricăror tipuri de amenințări și să folosească informații despre amenințări pentru a înțelege cum evoluează acestea.”
Produsele Kaspersky Lab au detectat malware-ul actualizat Remexi, ca Trojan.Win32.Remexi și Trojan.Win32.Agent.
Pentru a vă proteja de spyware-ul direcționat:
- Folosiți o soluție de securitate corporate cu funcții anti-atacuri direcționate și informații despre amenințări, care pot detecta atacuri avansate, analizând anomaliile din rețea și dându-le echipelor de securitate cibernetică vizibilitate completă asupra rețelei.
- Introduceți inițiative de conștientizare în domeniul securității, care să le permită angajaților să identifice mesajele suspecte. E-mail-ul este un punct de acces des întâlnit pentru un atac direcționat.
- Oferiți-i echipei de securitate acces la date despre amenințări, pentru a ține pasul cu cele mai noi tactici folosite de infractorii cibernetici și întăriți controalele de securitate folosite.
