Эксперты обнаружили хак-группу DarkUniverse, упомянутую еще в дампе ShadowBrokers

Рекомендуем почитать:

Xakep #246. Учиться, учиться, учиться!

• Содержание выпуска
• Подписка на «Хакер»

Специалисты «Лаборатории Касперского» рассказали о группировке DarkUniverse, упоминания которой можно было встретить среди данных, похищенных у АНБ хакерами из ShadowBrokers. Группа оставалась незамеченной как минимум восемь лет.

Напомню, что в апреле 2017 года хак-группа ShadowBrokers опубликовала очередной дамп данных, похищенных у АНБ. Дамп был назван «Трудности перевода» (Lost in Translation) и, среди прочего, содержал скрипт sigs.py, обнаруживающий в скомпрометированной системе следы присутствия 44 различных APT.

В 2018 году аналитики «Лаборатории Касперского» обнаружили APT, описанную 27-й функцией этого скрипта. Группировку назвали DarkUniverse, и сообщается, что она была активна по крайней мере 8 лет (с 2009 по 2017 годы). Эксперты отмечают, что DarkUniverse, вероятно, является частью активности ItaDuke (эта APT и стоящая за ней хакерская группа известны с 2013 года; в ее атаках использовались PDF с эксплойтами для доставки мавлари и учетные записи Twitter для хранения адресов управляющих серверов).

Специалистам удалось выявить около 20 жертв DarkUniverse, расположенных в Сирии, Иране, Афганистане, Танзании, Эфиопии, Судане, России, Республике Беларусь и ОАЭ. Среди пострадавших были как гражданские, так и военные организации. Предполагается, что число жертв в течение основного периода активности APT, между 2009 и 2017 годами, было намного больше. Приостановку активности DarkUniverse исследователи связывают с публикацией утечки Lost in translation. Или, возможно, злоумышленники просто решили перейти на более современные методы работы.

Исследователи пишут, что для распространения DarkUniverse использовались фишинговые сообщения. Каждое письмо специально подготавливалось для конкретной жертвы, чтобы привлечь ее внимание и побудить открыть вложенный документ Microsoft Office, содержащий малварь.

Технически DarkUniverse представляет собой интересный пример полноценного фреймворка. Он содержит все необходимые модули для сбора любой возможной информации о пользователе и зараженной системе и, похоже, был полностью разработан с нуля.

Каждый изученный аналитиками образец был скомпилирован непосредственно перед отправкой и включал последнюю доступную версию исполняемого файла вредоносного ПО. Инфраструктура группы развивалась с 2009 по 2017 год, и последние образцы сильно отличаются от старых вариантов, поэтому в своем отчете специалисты рассмотрели только наиболее новые версии малвари, использовавшиеся до 2017 года.

Детальный анализ компонентов малвари можно найти в отчете экспертов, а ниже мы приводим список возможностей инфраструктуры DarkUniverse. Модуль dfrgntfs5.sqt, представлявший собой наиболее функциональный компонент фреймворка, отвечал за обработку следующих команд:

Фото: ALYSSA FOOTE

Источник