Эксперты Лаборатории Касперского провели сложную атрибуцию и обнаружили коммерческое ВПО уровня спецслужб Dante

В марте 2025 года специалисты Лаборатории Касперского выявили волну заражений, происходивших сразу после того, как жертва открывала персонализированную фишинговую ссылку, полученную по электронной почте. Эта атака проводилась APT-группой ForumTroll и использовала уязвимость нулевого дня в браузере на базе Chromium CVE-2025-2783.

Цепочка атаки

Заражение происходило после того, как жертва переходила по ссылке из фишингового письма и попадала на вредоносный веб-сайт, который проводил ряд проверок и запускал эксплойт, а позже шпионское ПО LeetAgent.

1) Перед запуском эксплойта скрипт проводил ряд проверок для того чтобы убедиться, что сайт открыт в реальном браузере реальным пользователем, а не почтовым сервером, который может перейти по ссылке, произвести эмуляцию скрипта и загрузить настоящий эксплойт. Результаты проверки валидатор отправлял на C2-сервер вместе с идентификатором инфекции и сгенерированным публичным ключом.

2) Закрепление в системе происходило при помощи техники Component Object Model (COM) hijacking. В ее основе лежат особенности порядка поиска объектов COM в системе. Злоумышленник использовали ее для подмены записей CLSID библиотеки twinapi.dll и для того, чтобы заставить системные процессы и браузеры загружать вредоносную DLL, которая является загрузчиком LeetAgent.

3) Шпионское ПО LeetAgent получило свое название, так как всего его команды написаны на Leet, что является редким явлением среди ВПО. Вредоносное ПО подключается к одному из серверов C2, указанных в конфигурации, и использует протокол HTTPS для получения и выполнения команд, идентифицируемых уникальными числовыми значениями. Кроме того, в фоновом режиме выполняет задачи по отслеживанию нажатий клавиш и краже файлов.

Атрибуция Dante

Эксперты проследили активность LeetAgent до первого использования в 2022 году и обнаружили другие атаки APT-группы ForumTroll на организации и частных лиц в России и Беларуси.

Изучив это ранее шпионское ПО, специалисты пришли к выводу, что это коммерческое шпионское ПО Dante, разработанное итальянской компанией Memento Labs (бывшая Hacking Team).

Hacking Team (или HackingTeam) — один из старейших и самых известных поставщиков шпионского ПО. Компания была основана в 2003 году и стала известна благодаря шпионскому ПО Remote Control Systems (RCS), которым пользовались государственные органы по всему миру, и его противоречивой репутации.

Ниже представлены некоторые характеристики Dante:

Упакована с помощью VMProtect, который обфусцирует поток управления, скрывает импортированные функции и добавляет проверки на запуск в отладочной среде. Также использует распространенные методы обнаружения дебаггеров.

Для защиты от обнаружения Dante ищет в логах событий Windows события, которые могут указывать на использование инструментов анализа или виртуальных машин (на уровне хоста или гостя).

Источник: vk.com

Комментарии: