Исследователи «Лаборатории Касперского» обнаружили многочисленные попытки заражения иностранных дипломатических структур в Иране шпионским вредоносным ПО, созданным непрофессионально. Атаки, по данным экспертов, проводятся с использованием обновлённого бэкдора Remexi, а также некоторых легитимных инструментов. Этот бэкдор предположительно связан с киберпреступной группой Chafer, говорящей на фарси. Ранее она была замечена в киберслежке за людьми на Ближнем Востоке.

Стоит отметить, что в развивающихся регионах злоумышленники проводят вредоносные кампании, применяя относительно простое самодельное ПО в сочетании с общедоступными инструментами. В данном случае киберпреступники использовали улучшенную версию бэкдора Remexi, предназначенного для удалённого администрирования компьютера жертвы.

Бэкдор Remexi был впервые обнаружен в 2015 году, когда он использовался кибершпионской группой Chafer для незаконной слежки за отдельными лицами и рядом организаций по всему Ближнему Востоку. И вредоносное ПО, применяемое в новой кампании, имеет сходство с известными образцами Remexi, утверждают исследователи «Лаборатории Касперского».

Этот зловред может выполнять команды удалённо и перехватывать скриншоты, данные браузера (включая учётные данные пользователя), данные авторизации и историю, а также любой набранный текст. Украденные сведения эксфильтруются с помощью легитимного приложения Microsoft Background Intelligent Transfer Service (BITS) — компонента Windows, предназначенного для включения фоновых обновлений. Объединение вредоносного ПО с легитимным кодом помогает злоумышленникам экономить время и ресурсы и усложнять атрибуцию.

«Часто за кампаниями по кибершпионажу стоят высококвалифицированные люди. Анализируя такие инциденты, можно увидеть достаточно продвинутые техники и сложные инструменты. В этом случае злоумышленники используют достаточно простое вредоносное ПО. Безусловно, создано оно самостоятельно, и программисты у них есть. Однако, помимо этих разработок, они „творчески“ используют уже существующие легитимные приложения, а не стремятся к сложной самостоятельной разработке. Не нужно считать их любителями, этот подход имеет с точки зрения злоумышленников свои преимущества (скорость разработки, сложность атрибуции), и подобные атаки вполне способны нанести значительный ущерб. Мы призываем организации защищать ценную информацию и системы ото всех видов угроз», — подчеркнул Денис Легезо, антивирусный эксперт «Лаборатории Касперского».

Продукты «Лаборатории Касперского» детектируют обновлённое вредоносное ПО Remexi как Trojan.Win32.Remexi и Trojan.Win32.Agent.

Для защиты от шпионского вредоносного ПО «Лаборатория Касперского» рекомендует придерживаться ряда правил: используйте проверенное корпоративное решение для защиты от атак и угроз — например, Kaspersky Threat Management and Defense; внедрите инициативы по повышению осведомлённости сотрудников о безопасности — в частности, Kaspersky Security Awareness; предоставьте специалистам по информационной безопасности доступ к сервисам информирования об угрозах.