20 марта 2015
Вредоносное ПО Casper для кибершпионажа на государственном уровне
Специалисты компании «ESET» выполнили анализ вредоносного программного обеспечения Casper. Оно скрывает свое присутствие в системе на протяжении длительного времени и содержит код для противодействия антивирусным продуктам.
Casper представляет собой незаурядный инструмент для кибершпионажа. Программное обеспечение использовалось для похищения данных из государственных учреждений Сирии в апреле 2014 года. Его установка осуществлялась с применением эксплойтов к уязвимости нулевого дня в Adobe Flash Player. Данные телеметрии компании «ESET» указывают на то, что все предполагаемые жертвы атак находились на территории Сирии. Пользователи перенаправлялись на страницу с набором эксплойтов со скомпрометированного вебсайта jpic.gov.sy и других источников.
Эксперты ESET исследовали два образца вредоносной программы:
-
дроппер, сбрасывающий на диск исполняемый файл;
-
DLL-библиотеку, которая загружает компонент Casper_DLL.dll в память.
Код Casper позволяет изменять поведение вредоносного программного обеспечения в зависимости присутствия антивирусной защиты, установленной на компьютере. Вирус может выводить из строя некоторые решения, а обнаружив некоторые версии антивирусных продуктов, прекращает установку компонентов.
В случае успешной загрузки Casper устанавливает связь с удаленным сервером, получает команды в формате XML и отправляет злоумышленникам необходимую информацию из инфицированной системы. Эксперты ESET считают, что Casper разработан той же группой, что и другое шпионское программное обеспечение – Bunny и Babar.
