Sapphire Werewolf переписала стилер для шпионажа за российскими компаниями

С марта 2024 года новая группировка Sapphire Werewolf более 300 раз инициировала атаки на российские организации из сфер образования и IT, а также ВПК и аэрокосмической отрасли. Для кражи данных использовался модифицированный стилер

27 мая 2024 г.

Sapphire Werewolf рассылала жертвам фишинговые письма со ссылками, созданными с помощью сервиса‑сокращателя T.LY. Пользователи намеревались скачать заявленные официальные документы, но вместо этого загружали вредоносный файл, при открытии которого устанавливалась вредоносная программа для кражи данных — стилер Amethyst.

Чтобы у жертвы не возникало подозрений, одновременно с загрузкой вредоносного ПО действительно открывался отвлекающий документ — постановление о возбуждении исполнительного производства, листовка ЦИК или указ Президента Российской Федерации. Сервис‑сокращатель злоумышленники использовали с той же целью: это позволяло сделать ссылки похожими на легитимные.

Стилер Amethyst собирал со скомпрометированного устройства важную информацию. Это могли быть базы данных паролей, куки, история браузера, популярных сайтов и сохраненных страниц, текстовые и другие документы, а также файлы конфигурации, которые позволяли получить доступ к учетной записи жертвы в Telegram. Все сведения собирались в архив и отправлялись в телеграм‑бот злоумышленников.

С конца 2023 — начала 2024 года группировки, нацеленные на шпионаж, стали активно применять стилеры. При этом атакующим не обязательно разрабатывать такие программы с нуля. Например, стилер Amethyst, который использовала группировка Sapphire Werewolf, представляет собой модификацию опенсорсного вредоносного ПО SapphireStealer, которое злоумышленники доработали под свои задачи.

Олег Скулкин

Руководитель BI.ZONE Threat Intelligence

По данным Threat Zone 2024, в 2023 году 15% всех атак на организации России и других стран СНГ совершались ради шпионажа, 76% имели финансовый мотив, а 9% были связаны с хактивизмом.

Чтобы выявить применяемые Sapphire Werewolf методы закрепления на конечных точках IT‑инфраструктуры, необходимо использовать решения класса endpoint detection and response, например BI.ZONE EDR. А обеспечить эффективную работу средств защиты информации, ускорить реагирование на инциденты и защититься от наиболее критических для компании угроз можно с помощью данных об актуальных изменениях киберландшафта, которые предоставляет портал BI.ZONE Threat Intelligence.