ESET описала две кампании атак через заражённые сайты

ESET обнаружила две кампании атак через заражённые сайты, нацеленные на популярные веб-ресурсы, связанные с Ближним Востоком, в частности с Йеменом. Первая кампания началась в апреле 2020 года, вторая использовала новую инфраструктуру и модифицированный JavaScript. Исследователи оценили связь операторов атак с Candiru как возможную.

Скрипты первой кампании собирали данные о посетителях

В апреле 2020 года злоумышленники повторно зарегистрировали домен piwiks[.]com. На скомпрометированные сайты, среди которых были сайт посольства Ирана в Абу-Даби и Middle East Eye, внедряли JavaScript с доменов, контролируемых злоумышленниками. Активность продолжалась до июля или начала августа 2020 года, возобновилась в январе 2021 года и завершилась примерно в августе того же года.

Атакующие использовали домены, имитировавшие легитимные сервисы веб-аналитики, сокращения URL и доставки контента. В 2020 году внедрённые скрипты загружали reconnects.js или recon-api.js, а также библиотеку GeoJS. Они собирали данные о геолокации IP-адресов и передавали их на rebrandly[.]site/reconnect-api.php.

Затем скрипты проверяли, работает ли посетитель на Windows или macOS и использует ли один из нескольких распространённых браузеров. Большинство мобильных пользователей исключалось. Дополнительные данные для профилирования отправлялись на инфраструктуру управления, а ответы расшифровывались с помощью AES и заранее заданного ключа. На некоторых сайтах файлы cookie ограничивали повторный запуск вредоносного кода.

В 2021 году изменились скрипты и инфраструктура

Кампания 2021 года задействовала новую инфраструктуру и существенно изменённый JavaScript. В ранних скриптах использовалась библиотека minAjax. Они передавали временные метки и значения хешей на webfex[.]bz/f/gstats. Ответ с параметром fw мог перенаправить браузер на URL, указанный злоумышленниками.

Поздние скрипты собирали обширные сведения о браузере и хосте: язык, установленные шрифты, часовой пояс, плагины и локальные IP-адреса. Для получения последних использовался RTCPeerConnection. При обмене данными применялись сеансовые ключи AES, а сервер мог отправлять JavaScript для выполнения в контексте скомпрометированной веб-страницы.

Исследователи не зафиксировали успешного перенаправления. При этом поведение скриптов они оценили как соответствующее доставке браузерных эксплойтов. Инфраструктура и выбор целей указывали на возможную связь с коммерческим поставщиком шпионского ПО Candiru. Связанные с ним домены и серверы управления совпадали по шаблонам именования и практикам регистрации. В активности, связанной с Candiru, эксплуатировались уязвимости Chrome CVE-2021-21166 и CVE-2021-30551, а также уязвимость Internet Explorer CVE-2021-33742.

ESET с низкой степенью уверенности оценила, что операторы атак через заражённые сайты и операторы целевого фишинга могут быть одними и теми же лицами. Со средней степенью уверенности исследователи оценили, что операторы атак через заражённые сайты были клиентами Candiru или пользовались услугами компании.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.