15 апреля 2015
Троянец целенаправленно атаковал более десяти предприятий военно-промышленного комплекса
Специалисты компании «Доктор Веб» новую вредоносную программу, предназначенную для похищения информации из инфицированных устройств. Троянец-бэкдор, получивший наименование BackDoor.Hser.1, распространялся в ходе таргетированной атаки.
Вредоносная программа распространялась с помощью целевой почтовой рассылки на личные и служебные электронные адреса сотрудников более десяти предприятий военно-промышленного комплекса. Письма содержали прикрепленный файл «Копия оборудование 2015.xls» и отправлялись от имени сотрудника головной организации холдинга.
Вложенный в сообщение файл содержит эксплойт, использующий уязвимость CVE2012-0158 в некоторых версиях табличного редактора Microsoft Excel. При открытии файла на компьютере запускается процесс excel.exe, в который встраивается дроппер троянца.
Дроппер распаковывает из своего тела бэкдор BackDoor.Hser.1, сохраняет его на диск под именем npkim.dll в папку C:\Windows\Tasks\, регистрирует данную библиотеку в параметрах автозагрузки Windows и запускает командный интерпретатор cmd.exe для удаления файла процесса, в который он был встроен.
После запуска на инфицированном компьютере BackDoor.Hser.1 расшифровывает хранящийся в его теле адрес управляющего сервера и устанавливает с ним соединение. Он отправляет злоумышленникам информацию об атакованном персональном компьютере – IP адрес, имя компьютера, версию операционной системы и наличие в сети прокси-сервера. После этого программа дожидается поступления команд от злоумышленников.
Вредоносная программа способна по команде злоумышленников передавать на удаленный сервер список активных процессов на зараженном персональном компьютере, загружать и запускать другие вредоносные приложения, открывать командную консоль и выполнять перенаправление ввода-вывода на принадлежащий киберпреступникам сервер. Так злоумышленники получали возможность дистанционного управления инфицированным компьютером.
