ESET Research обнаруживает атаки на сайты на Ближнем Востоке со ссылками на шпионские программы Candiru

Атака на водопой компрометирует веб-сайты, которые, вероятно, будут посещаться заинтересованными лицами, тем самым открывая дверь для заражения компьютера посетителя веб-сайта. В этой кампании конкретные посетители этих веб-сайтов, вероятно, подверглись атаке с помощью эксплойта браузера. Однако исследователи ESET не смогли получить ни эксплойт, ни конечную полезную нагрузку. Это показывает, что участники угроз решили сузить фокус своих операций и не хотят сжигать свои эксплойты нулевого дня, демонстрируя, насколько целенаправленной является эта кампания. Скомпрометированные веб-сайты используются только в качестве отправной точки для достижения конечных целей.

“Еще в 2018 году мы разработали индивидуальную внутреннюю систему для обнаружения водопоев на популярных веб-сайтах. 11 июля 2020 года наша система уведомила нас о том, что веб-сайт посольства Ирана в Абу-Даби был заражен вредоносным кодом JavaScript. Наше любопытство было вызвано громким характером целевого веб-сайта, и в последующие недели мы заметили, что другие веб-сайты, связанные с Ближним Востоком, также были нацелены”, - говорит исследователь ESET Матье Фау, который раскрыл кампании "водопоя".

“Группа угроз затихла до января 2021 года, когда мы наблюдали новую волну компромиссов. Эта вторая волна продолжалась до августа 2021 года, когда все веб – сайты были снова очищены, как это было в 2020 году-вероятно, самими преступниками”, - добавляет он.

“Злоумышленники также имитировали веб-сайт, принадлежащий Всемирному форуму медицины, на выставке MEDICA, проходившей в Дюссельдорфе, Германия. Операторы клонировали исходный веб - сайт и добавили небольшой фрагмент кода JavaScript. Вполне вероятно, что злоумышленники не смогли скомпрометировать законный веб-сайт и были вынуждены создать поддельный, чтобы внедрить свой вредоносный код”, - говорит Фау.

Во время кампании 2020 года вредоносная программа проверила операционную систему и веб-браузер. Поскольку процесс отбора был основан на компьютерном программном обеспечении, кампания не была нацелена на мобильные устройства. Во второй волне, чтобы быть немного скрытнее, злоумышленники начали изменять скрипты, которые уже были на скомпрометированных сайтах.

“В блоге о Кандиру, опубликованном Citizen Lab в Университете Торонто, в разделе под названием "Кластер, связанный с Саудовской Аравией?" упоминается документ о подводной охоте, который был загружен в VirusTotal и несколько доменов, которыми управляли злоумышленники. Доменные имена являются вариациями подлинных сокращений URL-адресов и веб-сайтов для веб-аналитики, что является тем же методом, который используется для доменов, которые были замечены в атаках на водопой”, - объясняет Фау, связывая атаки с Кандиру.

Таким образом, существует значительная вероятность того, что операторы поливочных кампаний являются клиентами Candiru. Создатели документов и операторы водопоев также потенциально одинаковы. Candiru-частная израильская шпионская компания, которая недавно была добавлена в список организаций Министерства торговли США. Это может помешать любой американской организации вести бизнес с Candiru без предварительного получения лицензии Министерства торговли.

ESET прекратила наблюдать активность в этой операции в конце июля 2021 года, вскоре после публикации блогов Citizen Lab, Google и Microsoft, в которых подробно описывалась деятельность Кандиру. Операторы, похоже, делают паузу, вероятно, для того, чтобы перестроиться и сделать свою кампанию более скрытной. ESET Research ожидает их возвращения в ближайшие месяцы.

Для получения более подробной технической информации об этих атаках на веб-сайты на Ближнем Востоке читайте в блоге “Стратегический веб-компромисс на Ближнем Востоке с щепоткой Кандиру” о безопасности в WeLiveSecurity. Обязательно следуйте ESET Research в Twitter для получения последних новостей от ESET Research.