Согласно данным Kaspersky Lab, как минимум с 2012 года группа DeathStalker занимается кибершпионажем против финансовых и юридических компаний малого и среднего бизнеса по всему миру.

Компания Kaspersky Lab с 2018 года следит за деятельностью этой группы, которая сейчас стала особенно активной, что и привлекло внимание компании. Её тактики, техники и процедуры остаются неизменными, при этом не теряют эффективности со временем: заражение происходит через фишинговые письма, содержащие архивы с вредоносными файлами. Когда пользователь нажимает на ярлык, выполняется вредоносный скрипт и происходит загрузка вредоносного ПО, в результате чего атакующие получают контроль над устройством жертвы. Судя по целям и используемым инструментам, группа специализируется на краже данных, связанных с финансовой деятельностью компаний, трейдингом на различных площадках и инвестициями.

В числе инструментов DeathStalker — вредоносные семейства Powersing, Evilnum и Janicab. Powersing — это имплант на базе PowerShell, функционал которого позволяет делать скриншоты на заражённом устройстве и выполнять скрипты PowerShell. Зловред умеет избегать детектирования защитными решениями: прежде чем начать атаку, злоумышленники проверяют с его помощью, могут ли они тайно выполнять действия в системе, а затем обновляют скрипты в соответствии с результатами проверки. Кроме того, в атаках, которые осуществляются с применением Powersing, посредством известного сервиса в легитимный сетевой трафик внедряется бэкдор, что значительно ослабляет защитные возможности устройства. Далее атакующие размещают в легитимных социальных сетях, сервисах для ведения блогов и мессенджерах так называемые резолверы — зашифрованную информацию о настоящих командных центрах, чтобы иметь возможность быстро и незаметно совершить вредоносные действия. Использование таких распознавателей затрудняет обнаружение настоящего командно-контрольного сервера.

Аналитики акцентируют, что DeathStalker — это пример сложной атаки, представляющей собой угрозу для небольших частных фирм. Деятельность этой группы подтверждает то, что малому и среднему бизнесу нужно инвестировать в защитные решения и тренинги для сотрудников. Учитывая, что цели находятся в разных странах и в основном это финтех-, инвестиционные и юридические компании, то, скорее всего, мы имеем дело с профессиональными кибернаемниками, выполняющими взломы на заказ. Для противодействия DeathStalker рекомендуется организациям по возможности ограничить или отключить возможность использования скриптовых языков, таких как powershell.exe и cscript.exe, а также объяснить сотрудникам на тренингах по кибербезопасности, что вредоносное ПО может передаваться через фишинг и рассказать, как можно этого избежать. 

Чтобы обезопасить инфраструктуру компании от этой и других целевых атак, эксперты рекомендуют принять следующие меры:

  • предоставить сотрудникам, отвечающим за безопасность, доступ к самым свежим данным об угрозах, например к порталу Kaspersky Threat Intelligence Portal, на котором собраны данные о кибератаках, накопленные за более чем 20 лет работы;
  • для защиты конечных устройств, своевременного расследования и реагирования на инциденты внедрить EDR-решение;
  • регулярно проводить для сотрудников тренинги по информационной безопасности, например с помощью платформы Kaspersky ASAP, которая позволяет в том числе симулировать фишинговую атаку. Это даёт возможность удостовериться в том, что сотрудники в полной мере овладели навыками распознавания фишинговых писем, которые очень часто используются при проведении кампаний кибершпионажа.