ForumTroll использует шпионское ПО Dante в целевых атаках на научные и медийные организации

Исследование, опубликованное специалистами по кибербезопасности из «Лаборатории Касперского», связывает операцию под названием ForumTroll с использованием коммерческого шпионского ПО Dante (известного ранее по продуктам Hacking Team / Memento Labs). Аналитики зафиксировали волну таргетированных фишинговых рассылок, направленных на СМИ, университеты и НИИ, и описали техническую цепочку доставки вредоносного ПО, включающую эксплойт нулевого дня.

Атаки начинались с тщательно подготовленных писем-приглашений на научный форум: ссылки были персонализированы и существовали очень короткое время. Жертва при переходе оказывалась на вредоносном сайте, где выполнялся «валидатор» на базе WebGPU: скрипт проверял, что страницу открыл реальный браузер, обменивался данными с сервером по ECDH и получал ключ AES-GCM для расшифровки следующего этапа. По задумке злоумышленников далее должен был сработать эксплойт для побега из песочницы Chrome, что и позволило бы запустить шпионский модуль.

Анализ артефактов показал сходство кода и инструментов с продуктами Memento Labs, включая ранее неизвестную сборку Dante, которую Kaspersky идентифицировал как компонент арсенала атакующих. Активность группы прослежена до 2022 года, а целями операций становились СМИ, университеты, научно-исследовательские центры, а также государственные и финансовые организации в России и Беларуси.

Вывод Kaspersky заключается в том, что злоумышленники используют сочетание таргетированного фишинга, продвинутых валидаторов и эксплойтов нулевого дня для доставки сложных шпионских загрузчиков. Организациям в зоне риска стоит уделять внимание обработке входящих приглашений и ссылок, своевременно обновлять браузеры и анализировать подозрительную сетевую активность, чтобы обнаружить этапы загрузки и дешифровки вредоносных модулей.