В начале июля лаборатория Касперского сообщила о новой волне таргетированных атак, где злоумышленники рассылали вредоносные файлы под видом документов с целью сбора конфиденциальной информации с компьютеров различных компаний. С тех пор компания продолжила отслеживать активность группы, известной как Librarian Ghouls, и выявила изменения в их тактике.
Хотя методы и инструменты, используемые группировкой, остаются прежними, их цели и формат данных, которые они собирают, претерпели изменения. В июле было установлено, что злоумышленники рассылают вредоносные файлы с расширением .SCR, скрывающиеся под именем документа, имитирующего отчет по БПЛА. Теперь же их интерес стал более широким. Вместо того чтобы сосредоточиться исключительно на офисных документах и данных из мессенджера Telegram, они начали нацеливаться на файлы, связанные с программами для моделирования и разработки промышленных систем.
Методы атаки остаются теми же: вредоносные файлы по-прежнему распространяются в виде архивов RAR с поддельными документами в формате .SCR. Если жертва открывает такой файл, зловред загружает на компьютер дополнительные вредоносные компоненты, собирает интересующие данные и отправляет их на сервер злоумышленников. В августе и начале сентября наблюдается использование новых названий файлов, таких как “Исх_09_04_2024_№6_3223_Организациям_по_списку_Визуализация_ЭП.scr” и “Проект ТТТ 27.08.2024-2.scr”.
Заголовки вредоносных писем часто касаются срочных запросов или отчетов, что делает их более привлекательными для потенциальных жертв. В августе и начале сентября использовались такие темы, как “О ведении Каталога Российской ЭКБ (6-3223 от 30.08.2024)” и “Срочный запрос КП от Военмеха”. Эти заголовки помогают злоумышленникам увеличить вероятность того, что их письма будут открыты.
Одной из ключевых новаций стало расширение списка собираемых данных. Теперь в список файлов, собираемых зловредом для отправки, было добавлено несколько расширений, характерных для узкоспециализированного ПО:
- .SLDPRT – файлы системы автоматизированного проектирования SolidWorks, используемой для промышленного дизайна, в частности для 2D- и 3D-моделирования деталей и сборок;
- .cdw – формат системы САПР российской КОМПАС-3D, также используемый для моделирования деталей и узлов;
- .m3d – универсальный формат, применяемый различными программами для создания трехмерных моделей объектов;
- .dwg – формат файла, используемый для хранения двухмерных и трехмерных проектных данных и метаданных. В частности, используется такими программными комплексами САПР, как AutoCAD, CorelCAD и другими.
Кроме того, теперь зловред также похищает и документы в формате *.pdf.
Целевая аудитория атак была расширена и теперь включает предприятия, занимающиеся проектированием и разработкой в различных отраслях. В зоне риска оказались научно-исследовательские институты, компании ракетно-космической и авиационной отраслей, а также предприятия, работающие в области газопереработки, нефтехимии и обороны. Особое внимание уделяется производителям оборудования, систем связи и радиолокации, автокомпонентов, АСУ ТП и полупроводниковых приборов.