Вредоносное ПО доставляется через фишинговые письма, содержащие документ о конференции по защите.
Исследователи безопасности из компании Palo Alto Networks сообщили о новой фишинговой кампании, за которой стоит хакерская группировка Fancy Bear, предположительно связанная с властями РФ.
По словам исследователей, активность хакеров была зафиксирована дважды, 12 и 14 марта 2018 года. Для осуществления атак группировка использует обновленную версию платформы DealersChoice, которая эксплуатирует уязвимость в Adobe Flash для скрытой доставки вредоносного ПО.
Обновленная версия DealersChoice использует новую технику ухода от обнаружения. В частности, вредоносный модуль загружается только тогда, когда просматривается конкретная страница вредоносного документа, содержащегося в фишинговых письмах.
Жертвой фишинга стала некая европейская правительственная организация (название не раскрывается). Сотрудники организации получили письма с темой «Оборона и безопасность 2018». Письма содержат документ MS Word, озаглавленный «Defence & Security 2018 Conference Agenda.docx».
Как отметили исследователи, атакующие полностью скопировали повестку дня реальной конференции, которая состоится в Великобритании. Если пользователь открывает вложение Microsoft Word, объект Flash, содержащий вредоносный скрипт, пытается установить полезную нагрузку, однако скрипт запускается только в том случае, если жертва прокрутит документ до третьей страницы.
«Судя по всему хакеры уверены в том, что их цели будут достаточно заинтересованы в содержании, чтобы прокрутить документ до 3 страницы», - отметили эксперты.
По словам специалистов, вредоносный Flash-объект не запускается до тех пор, пока пользователь не дойдет до третьей страницы, поскольку SWF-загрузчик DealersChoice не активируется до тех пор, пока не появится на экране. Данная тактика помогает вредоносу избежать обнаружения. Вредоносный Flash-объект отображается как маленькая черная точка, которую многие пользователи могут просто не заметить.
После активации Flash-объект связывается с C&C-сервером для загрузки дополнительного вредоносного ПО, которое содержит код эксплоита.
Исследователи связали данную кампанию с Fancy Bear, поскольку в свойствах документа имя пользователя, в последний раз вносившего изменения, было обозначено как Nick Daemoji. Данное имя пользователя фигурировало в предыдущих кампаниях Fancy Bear.