Группа киберразведки экспертного центра безопасности Positive Technologies (PT Expert Security Center – PT ESC) выявил и отследил новую APT-группировку – DarkGaboon. Для злоумышленников характерно использование зловреда Revenge RAT в сочетании с шаблонами финансовых документов, загруженными с легитимных российских ресурсов по финансовой тематике. DarkGaboon атакует финансовые подразделения компаний из России, как минимум, с мая 2023 года.
В середине октября 2024 года специалисты киберразведки PT Expert Security Center зафиксировали таргетированную рассылку Revenge RAT сотрудникам одного из российских банков. Атака началась с отправки электронного письма, которое содержало грамотный с точки зрения синтаксиса и пунктуации сопроводительный текст на русском языке и архив-приманку.
На основе накопленной за многие годы внутренней экспертизы, специалисты группы киберразведки PT ESC сделали вывод, что новая APT-группировка преследует финансовую выгоду. На это указывает то, что все вредоносные файлы содержат в себе бухгалтерский контекст и направлены на финансовые подразделения компаний разных отраслей. Схожие признаки киберпреступной активности наблюдались у другой финансово мотивированной группировки – RTM.
В ходе расследования эксперты установили, что аналогичная активность в отношении российских компаний прослеживается как минимум до мая 2023 года. Однако ранее злоумышленники использовали кластер серверов «rampage», тогда как в октябре 2024 года – «kilimanjaro». Долгое время группировка оставалась в тени, но в августе 2024 года инфраструктура была скомпрометирована после попадания в фиды с индикаторами компрометации от ФинЦЕРТ[1], что и стало причиной смены инфраструктуры, считают специалисты киберразведки PT Expert Security Center.
Целью атак группировки DarkGaboon являются финансовые подразделения российских организаций. Об этом свидетельствует то, что почти половина всех загрузок образцов вредоноса на публичные сервисы проверки файлов приходится на Россию. Кроме того, злоумышленники подписывают вредоносный код поддельными сертификатами Х.509[2], якобы выпущенными на имя российских компаний, и хорошо ориентируются в особенностях русских названий и обсценной лексики. В ходе исследования специалистам Positive Technologies удалось выяснить, что жертвами группировки стали учреждения кредитно-финансовой сферы, крупные торговые сети, объекты спорта и туризма, а также компании сферы услуг.
«DarkGaboon стабильно обновляют используемые комплекты файлов, ежемесячно выпуская в свет порядка десяти новых экземпляров вредоносных сборок с Revenge RAT и пропорциональное им количество файлов-приманок. Регулярное “сбрасывание старой шкуры” позволило группировке более полутора лет скрытно атаковать российские компании, не прибегая к изощренным методикам и редкому вредоносному программному обеспечению», – комментирует Виктор Казаков, ведущий специалист группы киберразведки департамента Threat Intelligence экспертного центра безопасности Positive Technologies.
Более того, по данным экспертов, с марта 2024 года по сравнению с 2023 годом отмечается почти двукратный рост ежемесячных обновлений сборок с Revenge RAT. Это может говорить о том, что группировка не планирует останавливаться на достигнутом. Группа киберразведки экспертного центра безопасности Positive Technologies продолжит отслеживать активность DarkGaboon и своевременно предупреждать жертв о готовящихся кибератаках.
Выявить и своевременно среагировать на подобного рода угрозы компаниям помогают антивирусные продукты, песочницы, например рекомендован PT Sandbox, средства защиты конечных устройств, например MaxPatrol EDR, а также обучение сотрудников безопасному использованию электронной почты и противодействию методам социальной инженерии. Онлайн-сервис PT Knockin может превентивно проверить, справятся ли средства защиты почты, используемые в компании, с атаками группировки с использованием Revenge RAT. Пользователям, в свою очередь, следует быть внимательнее к отправителю сообщения, особенно если с ним отсутствует история переписки, он не является контрагентом, акцентирует внимание на срочности изучения документов, особенно подчеркивает названия государственных учреждений, регуляторов, надзорных ведомств и, если email зарегистрирован в нестандартной доменной зоне. В таких случаях необходимо проверять вложения письма лицензированными средствами антивирусной защиты.
[1] Фиды – потоки данных об индикаторах компрометации (вредоносных доменах, IP-адресах, ссылках и хеш-суммах файлов). Центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере (FinCERT) информирует о потенциальных компьютерных атаках, актуальных угрозах информационной
безопасности и уязвимостях ПО, используемого организациями, поднадзорными Банку России.
[2] Сертификаты X509 — это цифровые документы, которые представляют пользователя, компьютер, службу или устройство.
