Эксперты Positive Technologies выявили новую вредоносную кампанию на Ближнем Востоке

Специалисты группы киберразведки экспертного центра безопасности Positive Technologies (PT ESC) обнаружили и исследовали новую вредоносную кампанию, нацеленную на жителей стран Ближнего Востока и Северной Африки. Эксперты выяснили, что кампания активна с сентября 2024 года, а для распространения модифицированной версии AsyncRAT злоумышленники маскировались под новостные каналы в соцсетях и создавали рекламные посты со ссылками на файлообменник или телеграм-канал. Модификации вредоносного ПО позволяют находить данные о криптокошельках и взаимодействовать с телеграм-ботом.

В ходе исследования эксперты обнаружили около 900 потенциальных жертв, большая часть которых — обычные пользователи. Среди идентифицированных пострадавших есть сотрудники компаний из сфер нефтедобычи, строительства, информационных технологий и сельского хозяйства.

Анализ показал, что основную долю всех потенциальных жертв атаки составляют жители Ливии (49% от общего числа), Саудовской Аравии (17%), Египта (10%), а также Турции (9%), ОАЭ (7%), Катара (5%) и других стран.

Стоящую за вредоносной кампанией группировку эксперты назвали Desert Dexter — в честь одного из подозреваемых авторов. В ходе исследования атаки специалисты также выяснили, что злоумышленники создают временные аккаунты и новостные каналы в Facebook[1] и обходят правила фильтрации рекламы в соцсети. Подобная атака была описана в 2019 году экспертами компании Check Point, но сейчас наблюдается изменение некоторых техник в цепочке атаки.

«Атака представляет собой многоступенчатую цепочку, — поясняет Денис Кувшинов, руководитель департамента Threat Intelligence экспертного центра безопасности Positive Technologies. — Жертва переходит из рекламного сообщения на файлообменник или в телеграм-канал злоумышленников, мимикрирующий под СМИ, откуда получает RAR-архив, содержащий вредоносные файлы. Их задача — загрузка и запуск ВПО AsyncRAT, а также сбор и отправка в телеграм-бот злоумышленников информации о системе. Применяемая версия AsyncRAT использует модифицированный модуль IdSender, который позволяет получать информацию о наличии в различных браузерах расширений для двухфакторной аутентификации, расширений криптокошельков, а также ПО для работы с ними».

Эксперты считают, что инструменты Desert Dexter не отличаются особой сложностью, однако использование рекламы в связке с легитимными сервисами и геополитическим контекстом региона позволяют им успешно заражать устройства. Они отмечают, что группировка публикует в своих постах сообщения о якобы слитой конфиденциальной информации, что делает цепочку атаки универсальной для заражения устройств не только рядовых пользователей, но и высокопоставленных чиновников.

Исследователи резюмируют, что сохранение напряженности на Ближнем Востоке и в Северной Африке приводит к большому количеству кибератак, направленных на государственные учреждения и на обычных пользователей. При этом политические взаимоотношения стран остаются одной из популярных тем для фишинга, сложность атак возрастает, а ВПО модифицируется каждой группировкой под свои нужды.

[1] Meta (Facebook) — организация, запрещенная на территории России.