Ukraina foydalanuvchilari kiberjosuslar hujumiga uchramoqda

Xakerlar tizimlarni Felixroot zararli dasturi bilan yuqtirish uchun Microsoft Office’dagi eski zaifliklardan foydalanmoqdalar.

FireEye tadqiqotchilari Felixroot deb nomlangan yangi kiberjinoyatchilik operatsiyasi haqida xabar berishdi. Hujumchilar josuslik va fayllarni o’g’irlash maqsadida Microsoft Office dasturidagi eski zaifliklar orqali Windows kompyuterlariga orqa eshiklarni kiritmoqdalar. Kampaniya ukrainalik foydalanuvchilarga qaratilgan. Felixroot zararli dasturi maqsadli tizimlarga zararli ilovani o’z ichiga olgan fishing elektron pochtalari orqali yetkaziladi. Ilova atrof-muhitni muhofaza qilish bo’yicha seminarga tegishli o’rnatilgan eksploitga ega hujjatdir (masalan, Seminar.rtf).

Fishing elektron pochtalari rus tilida yozilgan va go’yoki Qozog’istondan yuborilgan. Mavzu satrining tanlanishi xakerlar aniq foydalanuvchilarni nishonga olayotganini ko’rsatadi. Mutaxassislar bu kampaniyani avvalgi kampaniya bilan bog’lashdi, unda hujumchilar Felixroot zararli dasturidan ham foydalangan va ukrainalik foydalanuvchilarga hujum qilgan.

Orqa eshikni o’rnatish uchun tajovuzkorlar Microsoft Office dasturidagi ikkita zaiflikdan – CVE-2017-0199 va CVE-2017-11882 dan foydalanishdi. Birinchi zaiflik jabrlanuvchi o’rnatilgan eksploitga ega hujjatni ochganda PowerShell buyruqlarini o’z ichiga olgan Visual Basic skriptini yuklab olish va bajarish imkonini beradi. Ikkinchi zaiflik esa ixtiyoriy kodni bajarish va maqsadli tizim ustidan nazoratni egallash imkonini beradi.

Orqa eshik maxsus shifrlashdan foydalanadi va o’zini to’g’ridan-to’g’ri xotiraga yuklaydi, diskni chetlab o’tib, uning aniqlanmasligiga imkon beradi. Xotiraga o’rnatilgandan so’ng, Felixroot 10 daqiqa davomida faol bo’lmaydi. Keyin zararli dastur bajarish uchun buyruqlarni qidiradi va C&C serveriga ulanadi va u yerdan o’g’irlangan fayllarni uzatadi.

Felixroot kerakli ma’lumotlarni qabul qilib, serverga uzatgandan so’ng, zararli jarayon tugaydi va zararli dasturning tizimdagi mavjudligining barcha izlari yo’q qilinadi. Bu shuni anglatadiki, hatto hujum aniqlansa ham, uning manbasini kuzatib bo’lmaydi.