Исследователи «Лаборатории Касперского» обнаружили многочисленные попытки заражения иностранных дипломатических структур в Иране шпионским вредоносным ПО, созданным непрофессионально. Атаки, по данным экспертов, проводятся с использованием обновленного бэкдора Remexi, а также некоторых легитимных инструментов. Этот бэкдор предположительно связан с киберпреступной группой Chafer, говорящей на фарси. Ранее она была замечена в киберслежке за людьми на Ближнем Востоке.

Стоит отметить, что в развивающихся регионах злоумышленники проводят вредоносные кампании, применяя относительно простое самодельное ПО в сочетании с общедоступными инструментами. В данном случае киберпреступники использовали улучшенную версию бэкдора Remexi, предназначенного для удаленного администрирования компьютера жертвы.

Бэкдор Remexi был впервые обнаружен в 2015 г., когда он использовался кибершпионской группойChafer для незаконной слежки за отдельными лицами и рядом организаций по всему Ближнему Востоку. И вредоносное ПО, применяемое в новой кампании, имеет сходство с известными образцами Remexi, утверждают исследователи «Лаборатории Касперского».

Этот зловред может выполнять команды удаленно и перехватывать скриншоты, данные браузера (включая учетные данные пользователя), данные авторизации и историю, а также любой набранный текст. Украденные сведения эксфильтруются с помощью легитимного приложения Microsoft Background Intelligent Transfer Service (BITS) – компонента Windows, предназначенного для включения фоновых обновлений. Объединение вредоносного ПО с легитимным кодом помогает злоумышленникам экономить время и ресурсы и усложнять атрибуцию.