Эксперты сообщают, что хак-группа Sapphire Werewolf, активная с марта 2024 года, уже более 300 раз атаковала российские организации из сферы образования, IT, ВПК и аэрокосмической отрасли. Основной целью хакеров является шпионаж, и для кражи данных они используют сильно модифицированный опенсорсный инструмент.
По информации аналитиков BI.ZONE, обычно атаки Sapphire Werewolf начинаются с фишинговых писем со ссылками, созданными с помощью сервиса для сокращения URL (t.ly). Пользователи, попадавшиеся на удочку злоумышленников, полагали, что скачивают официальные документы, но вместо этого загружали вредоносный файл, при открытии которого устанавливался инфостилер Amethyst.
«С конца 2023 — начала 2024 года группировки, нацеленные на шпионаж, стали активно применять стилеры. При этом атакующим не обязательно разрабатывать такие программы с нуля. Например, стилер Amethyst, который использовала группировка Sapphire Werewolf, представляет собой модификацию опенсорсного вредоносного ПО SapphireStealer, которое злоумышленники доработали под свои задачи», — объясняет Олег Скулкин, руководитель BI.ZONE Threat Intelligence.
Чтобы у жертв не возникало подозрений, одновременно с загрузкой малвари открывался отвлекающий внимание документ — постановление о возбуждении исполнительного производства, листовка ЦИК или указ Президента Российской Федерации. Сервис для сокращения URL злоумышленники использовали с той же целью: это позволяло сделать ссылки похожими на легитимные.
Стилер Amethyst ворует данные со скомпрометированных устройств, включая базы данных паролей, cookie, историю браузера, популярных сайтов и сохраненных страниц (из браузеров Chrome, Opera, Yandex, Brave, Orbitum, Atom, Kometa, Edge Chromium, Torch, Amigo, CocCoc, Comodo Dragon, Epic Privacy Browser, Elements Browser, CentBrowser, 360 Chrome, 360 Browser), текстовые и другие документы, а также файлы конфигурации, включая FileZilla и SSH, а даже данные, которые позволяют получить доступ к учетной записи жертвы в Telegram. Вся эта информация собиралась в архив и передавалась на управляющий сервер хакеров, роль которого играет Telegram-бот.
Исследователи отмечают, что еще несколько месяцев назад папка для сохранения собранных данных называлась sapphire (то есть именно этот стилер послужил основой для Amethyst). А также в то время стилер еще не содержал в себе дополнительных стадий, не имел механизмов закрепления в скомпрометированной системе и собирал весьма ограниченный набор данных: из браузеров не извлекалось ничего, кроме баз данных паролей и cookie, а также игнорировались файлы из загрузок мессенджера Telegram, с внешних носителей и журналы использования PowerShell.
