«Лаборатория Касперского» обнаружила кампанию StrikeShark с использованием загрузчика SharkLoader

Эксперты «Лаборатории Касперского» выявили вредоносную кампанию StrikeShark, в ходе которой злоумышленники атаковали организации на Тайване, в Индонезии, Гонконге, Ливане, Сирии, Колумбии, Северной Македонии, Непале и Сербии. Как сообщили SecPost в компании, для атак применялся ранее неизвестный загрузчик SharkLoader. На данный момент исследователи не связывают кампанию с какой-либо известной группировкой и продолжают мониторинг её активности.

Для первичного заражения, как пояснили в компании, использовались несколько тактик: эксплуатация уязвимостей в интернет-приложениях (Microsoft Exchange, Microsoft SharePoint, Openfire), а также вредоносные дропперы, маскирующиеся под легальное ПО — установщики Google Update, Cisco AnyConnect или фишинговые PDF-документы.

Процесс заражения многоэтапный. После эксплуатации уязвимости или установки дроппера применяется боковая загрузка DLL-файлов через легитимные приложения Windows для загрузки зашифрованных модулей. Эти модули расшифровываются и рефлексивно загружают дополнительные компоненты, которые устанавливают API-хуки для обхода средств обнаружения. В финале внедряется и запускается Cobalt Strike Beacon — инструмент для тестирования на проникновение, используемый для управления, разведки, перемещения по сети и сбора данных.

Продолжение ниже

В компании также отметили, что в ходе кампании сочетаются легкодоступные инструменты, кастомизированное вредоносное ПО и методы обхода защиты. В качестве мер защиты рекомендуется регулярное обновление приложений, использование антивирусных решений для блокировки дропперов, обучение сотрудников цифровой грамотности, а также применение комплексных платформ для мониторинга и реагирования на угрозы.