Новое вредоносное ПО в кибератаках на Украине

Как сообщила компания ESET, специалисты ее вирусной лаборатории зафиксировали новую волну кибератак, нацеленную на энергетический сектор Украины. Ее сценарий практически не отличается от вектора атак с применением вредоносного ПО BlackEnergy в декабре прошлого года. Злоумышленники рассылают по энергетическим предприятиям фишинговые письма от лица компании «Укрэнерго» с вредоносным документом Excel во вложении.

Документ-приманка содержит вредоносный макрос, похожий на тот, который использовался в кампании с применением BlackEnergy. Атакующие пытаются убедить жертву игнорировать сообщение безопасности и включить макрос, выводя на экран поддельное сообщение Microsoft Office. Успешное исполнение макроса приводит к запуску загрузчика (downloader), который пытается загрузить с удаленного сервера исполняемый файл и запустить его. Файл находился на украинском сервере, который был демонтирован после обращения специалистов ESET в организации реагирования на компьютерные инциденты CERT-UA и CyS-CERT.

В отличие от предыдущих атак на украинские энергетические объекты, сейчас злоумышленники использовали не троян BlackEnergy, а модифицированную версию бэкдора Gcat с открытыми исходными текстами, написанную на языке программирования Python. Gcat позволяет загружать в зараженную систему другие программы и исполнять команды оболочки. Прочие функции бэкдора (создание скриншотов, перехват нажатия клавиш, отправка файлов на удаленный сервер) были удалены. Управление Gcat осуществляется через аккаунт Gmail, что осложняет обнаружение вредоносного трафика в сети.

По мнению аналитиков ESET, использование вредоносного ПО с открытым исходным кодом нехарактерно для кибератак, организованных при поддержке государства (state-sponsored).

Антивирусные продукты ESET NOD32 детектируют угрозы как VBA/TrojanDropper.Agent.EY, Win32/TrojanDownloader.Agent.CBC, Python/Agent.N.