U kampanji, koju je 5. avgusta otkrio Proofpoint, napadači se lažno predstavljaju kao poreski organi država u Evropi, Aziji i SAD, a do sada je na ovaj način napadnuto više od 70 organizacija širom sveta pomoću malvera pod nazivom Voldemort koji prikuplja informacije i isporučuje druge malvere na zaražene uređaje.
Ciljani sektori su osiguranje, vazduhoplovstvo, transport, finansije, tehnologija, industrija, zdravstvo, automobilska industrija, ugostiteljstvo, energetika, vlade, mediji, proizvodnja, telekomunikacije i organizacije za socijalnu pomoć.
Kampanja za koju se sumnja da je sajber špijunaža nije pripisana nijednoj grupi. U sklopu napada do sada je poslato čak 20.000 emailova u kojima se primaoci upozoravaju na promene u njihovim poreskim prijavama.
Takođe time ih pozivaju da kliknu na linkove koji žrtve preusmeravaju na stranicu koja pregleda User-Agent string da bi se utvrdilo da li je operativni sistem Windows, i ako jeste, prikazuje se lažni PDF fajl u pokušaju da se žrtva prevari da ga pokrene i preuzme ZIP fajl zaštićen lozinkom sa OpenDrivea koji sadrži dva fajla - jedan legitimni izvršni „CiscoCollabHost.exe“ i jedni maliciozni DLL fajl „CiscoSparkLauncher.dll“ (tj. Voldemort).
Voldemort je backdoor za prikupljanje informacija i učitavanje dodatnih malvera u sledećoj fazi napada, sa malverom koji koristi Google tabele za C2, eksfiltraciju podataka i izvršavanje komandi operatera.
Proofpoint je rekao da je uspeo da pročita sadržaj Google tabela i identifikuje ukupno šest žrtava, uključujući i jednu za koju se veruje da je ili sandbox ili „poznati istraživač“.
Napadači su, prema rečima istraživača, najpre bacili široku mrežu pre nego što su hakovali malu grupu meta. Iako ova kampanja ima brojne karakteristike kampanja iza kojih stoje sajber kriminalci kojima je motiv isključivo zarada, Proofpoint procenjuje da je ovo verovatno sajber špijunaža ali da su konačni ciljevi ove kampanje još uvek nepoznati.
NE PROPUSTITE
Izvor: Informacija/Kurir/Darko Mulic
