Експерти з американської компанії Palo Alto Networks виявили новий троян, запущений кремлівськими хакерами угруповання APT 28 (вона ж Fancy Bear). За словом, що зустрічається в коді, шкідливий вірус дослідники назвали Cannon.
Видання SecurityLab пише, що Cannon є трояном для збору інформації про систему і створення скріншотів і використовується злочинцями в рамках шпигунської кампанії проти урядових організацій в Європі і США щонайменше з минулого місяця.
Для поширення Cannon злочинці використовують фішингові листи, які експлуатують нещодавню катастрофу літака авіакомпанії Lion Air. Листи містять вкладення Lion Air Boeing 737.docx, а їх автором зазначений якийсь Joohn.
При спробі відкрити документ з'являється повідомлення, що його було створено в старій версії Microsoft Word, і для перегляду потрібно активувати макроси. Коли користувач погоджується включити макроси, запускається процес установлення трояна. З метою обходу виявлення шкідливий вірус встановлюється на систему тільки після завершення сеансу Word.
Поряд з Cannon у цій кампанії використовується ще один шкідливий вірус - Zebrocy, який уже траплявся в операціях, що проводяться APT 28. Cannon функціонує подібно до Zebrocy, але на відміну від нього встановлює зв'язок з C&C-сервером для отримання інструкцій. Кожні 10 секунд шкідливий вірус робить скріншоти і кожні п'ять хвилин збирає дані.
Нагадаємо, Міністерство внутрішньої безпеки США і Федеральне бюро розслідувань ще в грудні 2016 року випустили технічний звіт про кібератаки Росії, в якому підтверджується причетність хакерських угруповань Fancy Bear і Cozy Bear до спецслужб РФ.
У жовтні світова спільнота оприлюднила низку викриттів російських хакерів. Зокрема, британське МЗС заявило, що за більшість великих кібератак в останні роки "майже напевно несе відповідальність ГРУ".