Эксперты рассказали об атакующем Восточную Европу шпионском ПО SBDH

Исследователи компании ESET сообщили подробности об исследуемом ими в течение года вредоносном инструменте SBDH. ПО предназначено для кибершпионажа и используется в атаках на правительственные и общественные организации в Центральной и Восточной Европе, в частности в Чехии, Словакии, Польше, Украине и Венгрии. По данным экспертов, ряд атак были осуществлены на организации, специализирующиеся на экономическом росте и сотрудничестве.

Загрузчик SBDH распространяется с помощью фишинговых писем. Для того чтобы не вызывать у жертв подозрения, вредонос использует иконки нескольких легитимных приложений от Microsoft или маскируется под документ Word. После выполнения на атакуемой системе дроппер подключается к удаленному серверу и загружает основные компоненты SBDH – инструмент для похищения данных и бэкдор.

Вредонос оснащен специальным фильтром, позволяющим злоумышленникам на основании расширений, размеров и дате создания точно указывать, какие именно файлы их интересуют. SBDH использует несколько способов подключения к C&C-серверу, в том числе HTTP-запросы и протокол SMTP.

Если другие способы не срабатывали, более ранние версии вредоносного ПО также использовали Microsoft Outlook Express. В таком случае для подключения к серверу злоумышленники использовали принадлежащую авторизованному пользователю учетную запись в сервисе электронной почты. В более новых версиях SBDH механизм HTTP-соединения был усовершенствован, и для маскировки вредоносного трафика теперь используются поддельные файлы JPEG или GIF.

По словам экспертов, некоторые используемые SBDH техники аналогичны тем, что применялись в ходе вредоносной кампании «Операция Buhtrap» (Operation Buhtrap), нацеленной на российские банки.