12.10.2020  Новости

Компания «Лаборатория Касперского» сообщила о выявленном наборе вредоносных модулей MontysThree, который существует как минимум с 2018 г. и предназначен для целевых атак на промышленные предприятия. Он использует техники, помогающие избежать детектирования, в том числе общение с контрольно-командным сервером через публичные облачные сервисы и стеганографию. Вредоносное ПО MontysThree состоит из четырех модулей. Атака начинается с распространения загрузчика с помощью фишинга через самораспаковывающиеся архивы. Названия файлов в таких архивах могут быть связаны со списками контактов сотрудников, технической документацией или результатами медицинских анализов. Загрузчик расшифровывает основной вредоносный модуль из растрового изображения со стеганографией. Для этого применяется специально разработанный алгоритм. Основной модуль использует несколько алгоритмов шифрования, чтобы избежать детектирования, преимущественно RSA для коммуникаций с контрольным сервером и для расшифровки конфигурационных данных. В этих основанных на формате XML данных описываются задачи вредоносного ПО: поиск документов с заданными расширениями, в указанных директориях и на съемных носителях. Эта информация показывает, что операторов MontysThree интересуют документы Microsoft Office и Adobe Acrobat. Помимо этого, модули могут снимать скриншоты рабочего стола, определять, интересна ли жертва операторам, анализируя ее сетевые и локальные настройки и т.д. Найденная информация шифруется и ... читать далее.