Scaly Wolf завалила атаку из-за банальной ошибки

Группировка Scaly Wolf, известная своими атаками на российские и белорусские организации, возобновила активность в конце марта 2024 года, выпустив не менее шести фишинговых рассылок на промышленные и логистические компании, а также государственные учреждения. Однако хакеры провалила серию кибератак на Россию из-за собственной ошибки, рассказали в компании BI.Zone.

Злоумышленники планировали получить доступ к корпоративным данным с помощью стилера White Snake, который они использовали в предыдущих кампаниях. Это вредоносное программное обеспечение позволяет собирать логины и пароли, сохраненные в браузере, записывать нажатия клавиш, копировать документы с инфицированного компьютера и получать к нему удаленный доступ.

Группировка действовала по привычной схеме, маскируя фишинг под официальные письма от федеральных ведомств. Хакеры рассчитывали, что жертва откроет приложенный к письму архив в ZIP-формате. Раньше Scaly Wolf просто помещала стилер в архив, но теперь злоумышленники пошли более сложным и, как им казалось, более надежным путем — воспользовались вредоносным загрузчиком. При открытии архива он должен был внедриться в приложение «Проводник» и установить последнюю версию White Snake.

Однако, внедряя обновленный способ доставки вредоноса для обхода защитных механизмов, злоумышленники допустили серьезную ошибку. Вместо ВПО в систему копируется легитимный файл explorer.exe — «Проводник». То есть даже в случае успешной атаки преступники не достигали главной цели — не получали доступ к чувствительным данным и скомпрометированной системе.

В ходе неудавшейся кампании Scaly Wolf использовала обновленную версию стилера White Snake, которая появилась в продаже на хакерских форумах только в конце марта. Разработчики вредоноса объявили «весенние скидки» - приобрести доступ к программе на полгода можно было за 500 долларов вместо 590, на год - за 800 вместо 1100, бессрочно - за 1000 вместо 1950 долларов.

Как отметили в компании, ранее создатели White Snake утверждали, что один из покупателей якобы сумел обойти ограничения на использование программы в России и странах СНГ. Об этом они заявили в августе 2023 года после публикации исследования компании о применении стилера против российских компаний. Вероятнее всего, таким образом разработчики пытались избежать блокировки вредоноса на популярных хакерских ресурсах. В последней версии White Snake модуль, блокирующий работу программы на территории РФ и стран СНГ, отсутствует.