Нова шпигунська програма отримує доступ до камери та мікрофона користувачів

Компанія ESET попереджає про нову активність групи кібершпигунів TA410. За даними телеметрії ESET, зловмисники націлені переважно на державний та освітній сектори у різних країнах.

На думку дослідників, група TA410 складається з 3 різних підгруп (FlowingFrog, LookingFrog і JollyFrog), які використовують подібні тактики, техніки та процедури, але при цьому мають різні інструменти та цілі. Однією з шкідливих програм, яку використовують кіберзлочинці, є нова версія бекдора FlowCloud.

Більшість цілей TA410 є провідними дипломатичними та освітніми організаціями, але спеціалісти ESET також виявили жертв у військовому секторі, виробничій компанії в Японії, гірничодобувному підприємстві в Індії та благодійній організації в Ізраїлі.

Інфікування користувачів відбувається за допомогою використання уразливостей в Інтернет-додатках, таких як Microsoft Exchange, або надсилання листів зі шкідливими документами. «Це вказує на те, що їхні атаки цілеспрямовані, а зловмисники вибирають оптимальний метод для інфікування певної цілі», — пояснює Александр Коте Сір, дослідник ESET.

Незважаючи на те, що нова версія FlowCloud, яку використовує підгрупа FlowingFrog, все ще проходить розробку та тестування, вона має ряд розширених можливостей для кібершпигунства. Зокрема шкідлива програма може перехоплювати натискання миші, активність клавіатури та вміст буфера обміну, а також інформацію про відкрите вікно.

Крім цього, FlowCloud також здатна робити знімки за допомогою під’єднаних пристроїв камери та записувати аудіо за допомогою мікрофона комп’ютера. «Ця функція автоматично запускається будь-яким звуком понад 65 децибел, що перебуває у верхньому діапазоні звичайної гучності розмови. Функція запису звуку у шпигунській програмі запускається, коли виконується дія на інфікованій машині, наприклад, під час відкриття додатку для відеоконференції або коли зловмисники надсилають конкретну команду», — пояснює дослідник ESET.

Група TA410 активна щонайменше з 2018 року, і вперше була публічно розкрита у серпні 2019 року компанією Proofpoint. Через рік нове на той час сімейство шкідливих програм під назвою FlowCloud також було віднесено до набору інструментів TA410.