Киберпреступники рассылали фейковые листовки от имени ЦИК

Специалисты Threat Intelligence компании F.A.C.C.T. обнаружили pdf-файл с политинформацией о прошедших президентских выборах с модифицированным стилером SapphireStealer. Эту вредоносную программу, способную перехватывать учетные данные из браузеров и из мессенджера Telegram, злоумышленники распространяли с поддельного ресурса, мимикрирующего под домен Правительства РФ.

Учитывая, что это первый случай, когда киберпреступники во время выборов распространяли ВПО, замаскированное под официальные документы Центральной избирательной комиссии, не исключено, что подобный вектор атаки они могут использовать и во время следующих выборов — Единый день голосования назначен на 8 сентября 2024 года.

Что за SapphireStealer

История SapphireStealer началась немного раньше выборной кампании. В начале марта 2024 года было опубликовано исследование об этом ВПО, нацеленном на россиян. Злоумышленники распространяли стилер через домен, мимикрирующий под домен правительства России.

Специалисты F.A.C.C.T. обнаружили, что, предположительно, в марте 2022 исходный код этого стилера был выложен в Telegram-канале, а также опубликован на форуме zelenka.guru пользователем под псевдонимом barion89.

SapphireStealer – это стилер, написанный на C#. Он собирает информацию о хосте, данные из браузеров (Chrome, Opera, Brave, Microsoft Edge и так далее), файлы. Также он способен делать снимки экрана (*но не в данном случае) и отправлять украденные данные в виде ZIP-архивов в email письмах. Но так как он был опубликован в публичном доступе, то функциональность экземпляров SapphireStealer может варьироваться. В нашем случае, передача информации осуществляется через Телеграм-бот, а также сервер, IP-адрес которого будет получен через Телеграм-канал.

SapphireStealer идет на выборы

Специалисты Threat Intelligence F.A.C.C.T. обнаружили, что вредоносная активность, упомянутая Cyble, также использовала тематику выборов в России. С того же домена, указанного в оригинальной статье (домен govermentu[.]ru, зарегистрированный 29.01.2024), по следующей ссылке был скачан файл “О предоставлении информации о предстоящих выборах.exe”:

Материал полностью на: https://habr.com/ru/companies/f_a_c_c_t/articles/803339/ Печать