16 апреля 2015
Кибератака на российскую банковскую систему
Эксперты компании ESET раскрыли кибератаку, ориентированную на российский бизнес. Согласно статистике, полученной с помощью системы ESET LiveGrid, 88% заражений пришлось на пользователей из России.
«Операция Buhtrap» длилась около года. Целью атак стали российские банки. Атакующие устанавливали вредоносное программное обеспечение на компьютеры, использующие в операционной системе Windows русский язык по умолчанию. Источником заражения был документ Word с эксплойтом CVE-2012-0158, который рассылался в приложении к фишинговому письму.
При открытии вредоносного документа на персональный компьютер устанавливался загрузчик Nullsoft Scriptable Install System. Затем программа скачивала с удаленного сервера архив 7z с вредоносными модулями.
Вредоносные модули представляют собой самораспаковывающиеся архивы. Ряд модулей были подписаны действительными цифровыми сертификатами, которые после обращения специалистов ESET были отозваны. Для установления контроля над зараженным персональным компьютером используются программы, позволяющие получить или восстановить пароль Windows, создать в операционной системе новый аккаунт и включить удаленный рабочий стол. Затем осуществлялась установка бэкдора LiteManage, который позволял атакующим удаленно управлять системой.
На инфицированные персональные компьютеры загружалось банковское шпионское программное обеспечение. Оно предназначалось для кражи данных и взаимодействия с удаленным командным сервером.
