Эксперты GReAT реконструировали цепочку заражения, применённую в атаках ForumTroll на российские организации. Короткоживущие веб-страницы, эксплуатировавшие 0day CVE-2025-2783 в Chrome, запускали на компьютере жертвы вредоносное ПО LeetAgent, примечательное тем, что все команды с С2 поступают в виде leetspeak. Поиски других атак, в которых использовался LeetAgent, позволили обнаружить случаи применения другого, гораздо более сложного вредоносное ПО Dante. Оно имеет преемственность с последними известными версиями коммерческого шпионского ПО RCS, созданного печально известной итальянской компанией Memento Labs (в девичестве Hacking Team).
Напомним, что Hacking Team были одними из пионеров коммерческого spyware и одними из первых в этой индустрии стали жертвами хактивизма — в 2015 году инфраструктура компании была взломана анонимными хакерами , а внутренняя переписка и исходные коды ВПО опубликованы. После этого компанию продали и переименовали в Memento Labs. Новые владельцы заявляли, что им придётся начинать работу компании с чистого листа.
Судя по всему, Dante и есть результат «начатого сначала». Имплант имеет модульную структуру, использует шифрование модулей с уникальными для каждой жертвы ключами и множество антиотладочных техник, при отсутствии команд со стороны С2 через некоторое время самоуничтожается.
О результатах исследования рассказал Борис Ларин в докладе на ИБ-конференции Security Analyst Summit. Полный технический анализ использованных уязвимостей и логических ошибок, анализ ВПО, а также IoC опубликованы на Securelist.
#APT #TheSAS2025 @П2Т