Обнаружена новая волна ключевой операции кибергруппы Lazarus — Operation DreamJob. Вредоносная программа распространяется под видом тестов на оценку навыков кандидатов на ИТ-позиции, передает центр деловой информации Kapital.kz со ссылкой на Kaspersky GReAT.
Злоумышленники заражают инфраструктуру компаний через файловые архивы, которые распространяются под видом тестов на оценку навыков кандидатов на ИТ-позиции. В числе новых целей кибергруппы — предприятия атомной промышленности, обратили внимание в компании.
«Кампания Operation DreamJob была обнаружена экспертами Kaspersky GReAT в 2019 году. Тогда она была направлена на компании по всему миру, связанные с криптовалютами. В 2024 году в числе целей появились компании из сферы ИТ и предприятия оборонной отрасли в Европе, Латинской Америке, Южной Корее и Африке. Новые жертвы — последняя зафиксированная волна атак была нацелена на сотрудников атомной отрасли в Бразилии. Они получили файловые архивы под видом тестов на оценку навыков претендентов на ИТ-позиции. Похоже, что атакующие использовали популярную платформу для поиска работы, чтобы распространить первоначальные инструкции и получить доступ в целевые системы» , — сообщает Kaspersky GReAT.
Lazarus развивает свои методы доставки вредоносного ПО, используя сложную цепочку заражения, включающую разные типы вредоносных программ, такие как загрузчики и бэкдоры.
Как поясняют специалисты, новая многоступенчатая атака включала в себя троянскую VNC-программу, программу для просмотра удалённых рабочих столов для Windows и легитимный VNC-инструмент для доставки вредоносного ПО. На первом этапе троянец AmazonVNC.exe расшифровывал и запускал загрузчик под названием Ranid Downloader для извлечения внутренних ресурсов исполняемого файла VNC. Второй архив содержал вредоносный файл vnclang.dll, загружавший вредоносную программу MISTPEN, которая затем загружала другие зловреды, включая RollMid и новый вариант LPEClient.
Новое вредоносное ПО — атакующие использовали ранее неизвестный бэкдор, который эксперты Kaspersky GReAT назвали CookiePlus. Он распространялся под видом легитимного плагина для текстового редактора с открытым исходным кодом Notepad++. CookiePlus собирает данные о системе, включая имя компьютера, ID процесса, пути к файлам, и заставляет главный модуль уходить в спящий режим на некоторое время. Он также настраивает расписание выполнения необходимых атакующим действий, изменяя конфигурационный файл, отмечают эксперты.
«Эта кампания кибершпионажа весьма опасна. Способность вредоносного ПО откладывать свои действия позволяет ему избегать обнаружения в момент проникновения в систему и дольше находиться в ней. Кроме того, зловред умеет манипулировать системными процессами, что затрудняет его выявление и может привести к дальнейшему повреждению или злонамеренной эксплуатации системы», — комментирует ведущий эксперт Kaspersky GReAT Василий Бердников.
Атаки были в отношении 200 пользователей из ряда стран, в том числе из Казахстана
РК и РФ планируют совместное производство для атомной энергетики
Россия, Бангладеш и Индия будут сотрудничать по АЭС
О возможности сотрудничества Казахстана и Франции в атомной энергетике заявил президент
