Пов’язаний із Росією бекдор загрожує мережам у Східній Європі

Нещодавні висновки дослідників із кібербезпеки розкрили діяльність Kapeka — прихованого російського шкідливого програмного забезпечення з бекдором, яке використовується в складних кібератаках по всій Східній Європі. Маючи зв’язки з хакерською групою Sandworm, Kapeka слугує потужним інструментом для шпигунства та саботажу, створюючи значні загрози для критичної інфраструктури й організаційної безпеки в регіоні.

Дослідники кібербезпеки розкрили складні механізми функціонування маловідомого російського шкідливого програмного забезпечення з бекдором Kapeka, яке використовується для таргетованих атак на організації в Східній Європі із середини 2022 року, про що повідомляє, therecord.media. Фінська компанія WithSecure, яка спеціалізується на кібербезпеці, пов’язала це шкідливе програмне забезпечення із сумнозвісною хакерською групою Sandworm, що, як вважають, підпорядковується російській службі військової розвідки (ГРУ).

Огляд функціонування Kapeka

Згідно зі звітом, наданим Recorded Future News, Kapeka є оновленим інструментом в арсеналі Sandworm, призначеним для шпигунських кампаній і актів саботажу. Як і попередники, це шкідливе програмне забезпечення надає зловмисникам доступ до мережі, щоб полегшити розгортання додаткового шкідливого корисного навантаження.

Під час аналізу дослідники виявили разючу схожість між Kapeka та наявним набором шкідливих інструментів Sandworm. Зокрема сліди Kapeka були знайдені у вторгненнях, пов’язаних із розгортанням програми-вимагача Prestige наприкінці 2022 року. Як повідомляється, хакери, наближені до Sandworm, використовували Prestige у низці атак, спрямованих на транспортний і логістичний сектори в Україні та Польщі. Це свідчить про те, що Kapeka може бути наступником GreyEnergy, попереднього штаму шкідливого програмного забезпечення, який приписують Sandworm і вважають, що він походить від сумнозвісного шкідливого програмного забезпечення BlackEnergy, відомого своєю роллю в атаках на українську електромережу у 2015 році.

Охоплення та вплив Kapeka

Сліди Kapeka були виявлені фахівцями WithSecure під час аналізу атаки на естонську логістичну компанію в середині 2023 року, що пролило світло на її масштаби та вплив. Крім того, зразки Kapeka, надіслані до репозиторію VirusTotal з України в середині 2022 та 2023 років, розширили уявлення дослідників про дії шкідливого програмного забезпечення та його жертв.

Звіт WithSecure підтверджує висновки, зроблені раніше цього року компанією Microsoft, яка виявила бекдор під назвою KnuckleTouch, схожий на Kapeka, що свідчить про продовження використання цього шкідливого програмного забезпечення групою Sandworm із початку до середини 2022 року.

Згідно зі звітом, Kapeka слугує багатогранним інструментарієм, пропонуючи своїм операторам як початковий доступ до скомпрометованих систем, так і постійний контроль над цільовим середовищем. Після розгортання шкідливе програмне забезпечення розпочинає фазу розвідування, збираючи розвідувальні дані про заражену систему та її користувачів. Воно може виконувати різні команди, зокрема читання файлів і команди оболонки, а також здатне самостійно розширювати свої функціональні можливості.

Така універсальність дає змогу зловмисникам адаптувати свої атаки на основі профілю жертви, потенційно розгортаючи повнішу версію бекдору в певних випадках.

Час розроблення та розгортання Kapeka вказує на зв’язок із поточними геополітичними кризами, зокрема війною в Україні. Дослідники припускають, що це шкідливе програмне забезпечення могло використовуватися в деструктивних кампаніях, включно з атаками з вимогами викупу, проти організацій у Центральній і Східній Європі. Хоча згадок про Kapeka в поточних дослідженнях залишається небагато, його зв’язок із цілеспрямованими атаками на транспортні та логістичні компанії наголошує на загрозі, яку воно становить для критично важливої інфраструктури.

Попри відсутність переконливих доказів щодо вектора зараження та мотивів зловмисника дослідники попереджають про потенціал подальшої еволюції Kapeka або появу нових, схожих за структурою інструментів у майбутніх кіберопераціях.

Бажаєте забезпечити свій бізнес професійним захистом, але не знаєте, з чого почати? Зверніться до DigVel, і ми залюбки вам допоможемо!