Хакерская группировка Leafminer атакует критическую инфраструктуру и правительственные организации на Ближнем Востоке с помощью различных общедоступных и специально разработанных инструментов, сообщили исследователи безопасности из компании Symantec.
SecurityLab пишет, что жертвами группировки стал ряд организаций в Азербайджане, Израиле, Ливане и Саудовской Аравии.
Злоумышленники использовали атаки типа watering-hole (заражение сайтов, часто посещаемых пользователями), уязвимости и брутфорс-атаки для хищения данных.
Исследователи подчеркнули высокую активность группировки. По их словам хакеры проводят различные операции с начала 2017 года. Группировка нацелилась на широкий круг сфер деятельности, включая энергетику, госуправление, финансы и телекоммуникации.
В арсенале группировки присутствуют различные эксплоиты, в том числе EternalBlue, разработанный Агентством национальной безопасности США и использовавшийся в печально известных атаках WannaCry и NotPetya.
Как предположили исследователи, группировка может быть связана с иранским правительством, однако прямых доказательств этому нет.
«Мы не знаем, делают ли они это по своему усмотрению или контролируются кем-то еще», — отметили специалисты.
В ходе расследования эксперты обнаружили URL для загрузки вредоносного ПО, используемого в одной из атак. Данный адрес ведет на взломанный web-сервер, размещенный на сайте правительства Азербайджана.
По словам специалистов, Leafminer использует различные общедоступные инструменты. Одним из таких инструментов является OrangeTeghal — модифицированная версия широко распространенной программы Mimikatz. Модификация позволила группе избежать обнаружения решениями, которые бы распознали код Mimikatz.
«Мы будем наблюдать, выйдет ли Leafminer за пределы уже атакованных стран. Мы ожидаем, что атаки продолжатся», — отметили эксперты.
