Индийские хакеры атакуют пользователей iOS и Windows

Злоумышленники распространяют вредоносные версии легитимных приложений для слежки за пользователями и хищением данных.

Индийская хакерская группировка проводит новую вредоносную кампанию, ориентированную на пользователей устройств под управлением операционных систем iOS и Windows. Об этом сообщили исследователи безопасности из команды Cisco Talos. Ранее в этом месяце исследователи зафиксировали вредоносную кампанию, в ходе которой эксплуатировалась уязвимость в службе управления мобильными устройствами (Mobile Device Management, MDM) для слежки за несколькими пользователями iPhone из Индии.

Злоумышленники активны по меньшей мере с августа 2015 года и эксплуатируют уязвимость в MDM для удаленной установки вредоносных версий легитимных приложений (Telegram, WhatsApp и PrayTime) на целевые iPhone.

Модифицированные приложения были разработаны для тайной слежки за пользователями iOS и могут похищать данные об их местоположении, SMS-сообщения, контакты, фотографии и личные сообщения в мессенджерах.

В ходе расследования специалисты выявили несколько вредоносных двоичных файлов, предназначенных для устройств под управлением операционных систем Microsoft Windows, размещенных в принадлежащей злоумышленникам инфраструктуре.

«Мы знаем, что вредоносы для MDM и Windows были запущены на одном C&C-сервере в мае 2018 года. Некоторые из серверов все еще запущены и работают. Их конфигурация Apache очень специфична и идеально соответствует настройке Apache для вредоносных приложений IPA», — заявили эксперты.

Помимо этого, исследователи обнаружили некоторые особенности, позволяющие связать данную кампанию с хакерской группировкой Bahamut, ранее атаковавшей пользователей Android-устройств с помощью аналогичной техники.

Помимо распространения модифицированных версийTelegram и WhatsApp, на C&C-сервере также обнаружена модифицированные версии браузера Safari и приложения для видеочата IMO.

По словам исследователей, вредоносный браузер Safari был предварительно настроен для автоматического хищения логинов и паролей пользователей на различных сервисах, так как Yahoo!, Rediff, Amazon, Google, Reddit, Baidu, ProtonMail, Zoho, Tutanota и пр.

В настоящее время точно неизвестно, кто именно стоит за кампанией и каковы мотивы злоумышленников, однако, судя по всему, атакующие работают из Индии и хорошо финансируются.