Batavian vakoiluohjelmat

Hienostunut kybervakoilukampanja on kohdistanut aktiivisesti hyökkäyksiä venäläisiin organisaatioihin heinäkuusta 2024 lähtien. Operaation ytimessä on aiemmin dokumentoimaton vakoiluohjelma nimeltä Batavia, jota käytetään harhaanjohtavien sähköpostien kautta, jotka on suunniteltu näyttämään laillisilta sopimustarjouksilta.

Tartuntaketju: sähköpostista vakoiluun

Hyökkäys alkaa huolellisesti laadituilla tietojenkalasteluviesteillä, jotka lähetetään hyökkääjän hallitsemalta oblast-ru.com-verkkotunnukselta. Nämä viestit houkuttelevat vastaanottajia tekaistulla sopimuksen allekirjoittamispyynnöllä ja sisältävät haitallisen linkin. Linkin napsauttaminen käynnistää Visual Basic Encoded -skriptin (.VBE-tiedosto) sisältävän arkistotiedoston latauksen.

Suoritettuaan skripti suorittaa tiedustelun keräämällä yksityiskohtaisia tietoja isäntäjärjestelmästä ja lähettämällä ne etäpalvelimelle. Tämä laukaisee toissijaisen hyötykuorman, Delphillä kirjoitetun suoritettavan tiedoston, latauksen.

Delphi-haittaohjelma: Häiriötekijät ja tietovarkaudet

Delphi-pohjainen haittaohjelma todennäköisesti esittää väärennetyn sopimuksen pitääkseen uhrin kiinnostuneena. Samaan aikaan se kerää huomaamattomasti erilaisia arkaluonteisia tietoja, kuten:

• Järjestelmälokit ja asennetun ohjelmiston tiedot
• Microsoft Office ja muut asiakirjatyypit (*.doc, *.docx, *.ods, *.odt, *.pdf, *.xls, *.xlsx)
• Kuvakaappaukset ja tiedot kaikista isäntään kytketyistä irrotettavista laitteista

Haittaohjelman toiminnallisuus ei lopu tähän. Se lataa myös ylimääräisen binääritiedoston komento- ja hallintapalvelimeltaan. Tämä tiedosto on suunniteltu keräämään entistä laajempaa valikoimaa tiedostotyyppejä vuotoja varten.

Laajennetut tiedostojen keräysominaisuudet

Toisen vaiheen binääritiedosto laajentaa varastetun tiedon laajuutta merkittävästi kattamaan:

• Kuvat ja graafiset tiedostot: *.jpeg, *.jpg, *.cdr
• Sähköpostit ja tekstipohjainen sisältö: *.eml, *.csv, *.txt, *.rtf
• Esitykset ja arkistot: *.ppt, *.pptx, *.odp, *.rar, *.zip

Kaikki kerätyt tiedot suodatetaan eri verkkotunnukseen, ru-exchange.com, joka toimii myös neljännen vaiheen suoritettavan tiedoston toimituspisteenä. Tämä tuntematon komponentti todennäköisesti jatkaa hyökkäysketjua uusilla haitallisilla toimilla.

Laaja vaikutus ja kerätty data

Viimeisen vuoden aikana yli 100 käyttäjää useissa kymmenissä organisaatioissa on kohdeltu näillä tietojenkalasteluviesteillä. Lopullinen hyötykuorma varmistaa perusteellisen tiedonkeruun, josta varastetaan paitsi henkilökohtaisia ja yritysasiakirjoja myös:

• Täydellinen asennettujen ohjelmistojen luettelo
• Tietoja laiteohjaimista
• Käyttöjärjestelmän komponenttien tiedot

Johtopäätös: Koordinoitu ja kehittyvä vakoiluuhka

Batavian vakoiluohjelmakampanja heijastaa koordinoitua ja jatkuvaa uhkaa organisaatioiden turvallisuudelle Venäjällä. Monivaiheinen tartuntaketju yhdistettynä sen kykyyn purkaa laaja kirjo tiedostoja ja järjestelmätietoja tekee siitä valtavan vakoilutyökalun. Organisaatioiden on pysyttävä valppaina ja otettava käyttöön ennakoivia turvatoimenpiteitä puolustautuakseen tällaisia edistyneitä ja harhaanjohtavia hyökkäyksiä vastaan.