KillDisk атакует украинских пользователей

14.12.2016

Компания ESET — лидер в области проактивного обнаружения — сообщает о проведении ряда кибератак, жертвами которых стали значимые цели в Украине. По мнению специалистов ESET, главная цель хакеров — планомерное осуществление диверсий в украинском киберпространстве.

Для заражения компьютеров жертв хакеры используют фишинговые электронные письма с документами Excel, которые содержат вредоносные макросы. В случае открытия вложения пользователь запускает троян-загрузчик, который, в свою очередь, загружает основной фрагмент вредоносной программы — бэкдор Python/TeleBot.AA.

Для связи с бэкдором Python/TeleBot киберпреступники используют текстовые боты Telegram Bot API с платформы обмена сообщениями Telegram Messenger. Схема позволяет управлять зараженным компьютером с любого устройства, на котором установлено приложение Telegram, при помощи текстовых команд. Специалисты ESET уже сообщили Telegram о несанкционированном использовании их коммуникационной платформы.

После успешного заражения сети компьютеров злоумышленники используют вредоносные скрипты для кражи паролей, в частности инструменты для сбора паролей, сохраненных в браузерах, вывод на экран учетных данных Windows, считывания нажатий клавиш на клавиатуре и другие вредоносные программы. Киберпреступники также разворачивают дополнительные бэкдоры для доступа к зараженной сети на случай, если основной бэкдор Python/TeleBot будет обнаружен и удален.

На заключительном этапе атаки злоумышленники применяют компонент KillDisk. Предыдущая его версия была использована в атаках на медиа-компании в ноябре 2015 и на энергетические компании Украины в декабре 2015 года (атака BlackEnergy). Основной целью KillDisk является удаление важных системных файлов и повреждение системы. Эта версия KillDisk фокусируется на уничтожении файлов со следующими расширениями:

.kdbx .bak .back .dr .bkf .cfg .fdb .mdb .accdb .gdb .wdb .csv .sdf .myd .dbf .sql .edb .mdf .ib .db3 .db4 .accdc .mdbx .sl3 .sqlite3 .nsn .dbc .dbx .sdb .ibz .sqlite .pyc .dwg .3ds .ai .conf .my .ost .pst .mkv .mp3 .wav .oda .sh .py .ps .ps1 .php .aspx .asp .rb .js .git .mdf .pdf .djvu .doc .docx .xls .xlsx .jar .ppt .pptx .rtf .vsd .vsdx .jpeg .jpg .png .tiff .msi .zip .rar .7z .tar .gz .eml .mail .ml .ova .vmdk .vhd .vmem .vdi .vhdx .vmx .ovf .vmc .vmfx .vmxf .hdd .vbox .vcb .vmsd .vfd .pvi .hdd .bin .avhd .vsv . iso .nrg .disk .hdd .pmf .vmdk и .xvd.

Дату и время активизации установленного на зараженном компьютере KillDisk киберпреступники контролируют дистанционно при помощи текстовых команд, отправляемых через приложение Telegram.

В связи с угрозой дальнейшего распространения вредоносного программного обеспечения группы TeleBots специалисты ESET настоятельно рекомендуют пользователям соблюдать правила безопасности при работе в Интернете, в частности не открывать подозрительные файлы и ссылки в письмах от неизвестных пользователей, а также использовать надежные решения для защиты своих компьютеров и мобильных устройств.

Подробная информация об угрозе Python/TeleBot доступна на официальном блоге ESET — www.welivesecurity.com (перевод доступен по ссылке).

Индификаторы угрозы

ESET обнаруживает угрозу Python/TeleBot со следующими названиями сигнатур: