Операция Potao оказалась нацелена на госслужбы Украины и России
Специалисты антивирусной компании ESET расследовали серию киберкампаний с применением шпионского программного обеспечения Win32/Potao. Данные атаки осуществляются уже более 4 лет, а в число жертв входят правительство и военные ведомства Украины.
Вредоносное ПО Win32/Potao - это модульный инструмент для кибершпионажа, а атаки с его применением относятся к типу Advanced Persistent Threat (постоянные угрозы повышенной сложности).
По словам специалистов, Potao применялся в масштабных таргетированных киберкампаниях.
Первые образцы этого ПО датируются 2011 годом, однако отмечается, что атаки с его применением до настоящего времени оставались вне публичного поля. В 2014-2015 годах был замечен значительный рост числа заражений. Это может быть связано, по мнению экспертов, с добавлением механизма заражения съемных USB-носителей.
Осенью 2013 года были выявлены отладочные версии Win32/Potao. Эксперты считают, что атакующие приступили к подготовке таргетированных атак на украинских пользователей. В 2014 году операторы Potao освоили новый вектор заражения.
В частности, ими была создана вредоносная веб-страница MNTExpress, которая имитирует сайт сервиса Pony Express. Жертвы получали сообщения с вредоносной ссылкой, «трек-кодом» и личным обращением, что указывает на точную нацеленность атаки.
В марте 2015 года был использован аналогичный сценарий. Тогда атакующие зарегистрировали домен WorldAirPost.com с дизайном сайта Singapore Post.
Украинский этап «Операции Potao» начался в 2014 году, а в марте 2015 года были выявлены образцы Potao на стратегических объектах, включая правительство, одно из крупнейших информационных агентств и военные ведомства.
Осуществляются эти атаки посредством фишинговых сообщений электронной почты с вредоносными вложениями (исполняемые файлы под видом документов Microsoft Word).
Эксперты отмечают, что стоящая за распространением Potao кибергруппа все еще активна, на что указывает образец вредоносного ПО от 20 июля текущего года направленный потенциальной жертве в Грузии. В качестве документа-приманки используется pdf-файл.
