LuciDoor и MarsSnake атакуют СНГ: эксперты раскрыли инструменты APT-группировки

Специалисты Positive Technologies раскрыли детали шпионской кампании, в рамках которой телекоммуникационные компании в странах СНГ атаковали с помощью двух бэкдоров - LuciDoor и MarsSnake.

По данным исследования PT ESC Threat Intelligence, атаки начинались с целевых фишинговых писем. В одних случаях жертвам направляли документы Microsoft Office, которые загружали удалённый шаблон и инициировали выполнение вредоносного кода. В других - использовались ссылки на файлы-приманки. После запуска происходила загрузка и установка LuciDoor либо MarsSnake.

LuciDoor устанавливал соединение с управляющим сервером, при необходимости используя системные прокси или другие узлы инфраструктуры жертвы. После закрепления бэкдор собирал базовую информацию о системе, передавал её оператору и позволял загружать дополнительные модули. Это обеспечивало дальнейшее развитие атаки внутри сети.

MarsSnake, применённый в более поздних эпизодах, отличается гибкой конфигурацией: его параметры можно изменять без пересборки исполняемого файла, достаточно обновить данные в загрузчике. После внедрения вредонос вычисляет уникальный идентификатор заражённой системы, собирает технические сведения и передаёт их на C2-сервер.

Эксперты отмечают, что злоумышленники маскировали вредоносные компоненты под легитимные элементы Windows. В настройках вредоносов были обнаружены признаки использования различных языковых шаблонов, что может свидетельствовать о заимствовании или модификации инфраструктуры.

Анализ кампании показывает, что атакующие действовали поэтапно: сначала получали первичный доступ через фишинг, затем закреплялись с помощью бэкдоров и только после этого переходили к сбору данных и дальнейшему перемещению внутри сети. Исследователи подчёркивают, что LuciDoor и MarsSnake представляют собой инструменты для длительного присутствия в инфраструктуре и могут использоваться в рамках целевых разведывательных операций против организаций в регионе СНГ.