Атаки Fancy Bear на новые уязвимости нулевого дня
По сообщению компании ESET, ее специалисты выявили новую кибератаку, реализованную группой Sednit (известной также как APT28, Fancy Bear и Sofacy). Хакеры используют эксплойты к уязвимостям нулевого дня в продуктах Microsoft.
Кибергруппа Sednit действует как минимум с 2004 г. и специализируется на краже конфиденциальной информации. Ей приписывают атаки на Демократическую партию США, парламент Германии, французский телеканал TV5 Monde и допинговое агентство WADA.
В апреле группу обвинили во «вмешательстве в французские выборы», в частности, в атаке на штаб Эммануэля Макрона. Одновременно с этим внимание специалистов ESET привлекла фишинговая рассылка с документом под названием Trump’s_Attack_on_Syria_English.docx во вложении. Фишинговое письмо эксплуатирует тему решения Дональда Трампа о ракетном ударе по Сирии. Документ содержит копию соответствующей статьи, опубликованной 12 апреля в The California Courier.
Как установили в ESET, документ предназначен для загрузки вредоносной программы Seduploader – известного инструмента разведки из арсенала группы Sednit. С этой целью хакеры используют два эксплойта – к уязвимости удаленного выполнения кода в Microsoft Word (CVE-2017-0262) и к уязвимости локального повышения привилегий в Windows (CVE-2017-0263). Данная схема типична для Sednit – использование фишинговой рассылки с вредоносным вложением для установки инструмента первого этапа.
Новая атака подтверждает, что кибергруппа Sednit не снижает активности и не меняет привычки – известные методы, повторное использование кода из других вредоносных программ, небольшие ошибки типа опечатки в конфигурации Seduploader (shel вместо shell). Кроме того, хакеры продолжают дорабатывать инструментарий, добавляя новые встроенные функции, в частности, скриншоттер.
После предупреждения Microsoft выпустила обновление безопасности, закрывающее перечисленные уязвимости.