ESET Research обнаружила, что связанная с Ираном группа Agrius развертывает новый очиститель с помощью атаки на цепочку поставок в алмазной промышленности

Исследователи ESET обнаружили новый очиститель и инструмент для его выполнения, которые приписываются связанной с Ираном группе Agrius APT. Операторы вредоносного ПО провели атаку на цепочку поставок, злоупотребив израильским разработчиком программного обеспечения, чтобы развернуть свой новый вайпер Fantasy и новый инструмент бокового движения и исполнения Fantasy, Sandals. Злоупотребляемый израильский программный пакет используется в алмазной отрасли, и в феврале 2022 года Агриус начал преследовать израильскую кадровую фирму, оптового торговца алмазами и ИТ-консалтинговую фирму. Группа известна своей деструктивной деятельностью. Жертв также наблюдали в ЮАР и Гонконге.

- Компания Agrius провела атаку на цепочку поставок с использованием израильского программного обеспечения, используемого в алмазной промышленности.
- Agrius — это более новая группа APT, связанная с Ираном, которая занимается исключительно деструктивными операциями.
- Затем группа развернула новый вайпер, которого мы назвали Fantasy. Большая часть его кодовой базы взята из Apostle, предыдущего вайпера Агриуса.  
- Наряду с Фэнтези Агриус также применил новое боковое движение и инструмент исполнения Фантазии, которые мы назвали Сандалиями.
- Жертвами стали израильские кадровые фирмы, ИТ-консалтинговые компании и оптовый торговец бриллиантами; южноафриканская организация, работающая в алмазной промышленности; и ювелир в Гонконге.

«Кампания длилась менее трех часов, и за это время клиенты ESET уже были защищены с помощью детектов, которые идентифицировали Fantasy как вайпер и блокировали его выполнение. Мы наблюдали, как разработчик программного обеспечения выпускал чистые обновления в течение нескольких часов после атаки», — говорит Адам Бургер, старший аналитик ESET по анализу угроз. ESET связалась с разработчиком программного обеспечения, чтобы уведомить его о потенциальной компрометации, но запросы остались без ответа.

«20 февраля 2022 года в организации алмазной отрасли в Южной Африке компания Agrius развернула инструменты для сбора учетных данных, вероятно, в рамках подготовки к этой кампании. Затем, 12 марта 2022 года, Агриус начал стирающую атаку, применив Fantasy и Sandals сначала к жертве в Южной Африке, затем к жертве в Израиле и, наконец, к жертве в Гонконге», — уточняет Бургер.

Fantasy Wiper либо стирает все файлы на диске, либо стирает все файлы с расширениями из списка расширений 682, включая расширения имен файлов для приложений Microsoft 365, таких как Microsoft Word, Microsoft PowerPoint и Microsoft Excel, а также для обычных файлов видео, аудио и изображений. форматы. Несмотря на то, что вредоносная программа предпринимает шаги, чтобы затруднить восстановление и судебный анализ, вполне вероятно, что восстановление диска операционной системы Windows возможно. Было замечено, что жертвы возвращались в норму и бегали в течение нескольких часов.
Agrius — это новая связанная с Ираном группа, нацеленная на жертв в Израиле и Объединенных Арабских Эмиратах с 2020 года. Первоначально группа использовала очиститель Apostle, замаскированный под программу-вымогатель, но позже преобразовала Apostle в полноценную программу-вымогатель. Agrius использует известные уязвимости в приложениях, подключенных к Интернету, для установки веб-оболочек, затем проводит внутреннюю разведку, прежде чем перемещаться в боковом направлении и затем развертывать свои вредоносные полезные нагрузки.
С момента своего открытия в 2021 году Агриус сосредоточился исключительно на разрушительных операциях. Фэнтези во многом похож на предыдущего вайпера Агриуса, Апостола. Однако Fantasy не пытается маскироваться под программы-вымогатели. Есть лишь несколько небольших изменений между многими оригинальными функциями в Apostle и реализацией Fantasy.