В конце июля «Лаборатория Касперского» обнаружила ранее неизвестное вредоносное программное обеспечение, которое распространялось через сайт одной из российских энергетических компаний, оно получило название CMoon, сообщает ЛК в среду.

Злоумышленники подменили в нескольких разделах ресурса ссылки на скачивание нормативных документов на другие, ведущие на вредоносные исполняемые файлы. Зловред мог выгружать с заражённого устройства пользователя конфиденциальные и платёжные данные, запускать DDoS-атаки на интернет-ресурсы, а также распространяться на другие устройства. Атака могла быть направлена на подрядчиков и партнёров организации. Обнаружив заражение, «Лаборатория Касперского» сразу сообщила о нём владельцам ресурса и вредоносные файлы по ссылкам были удалены, говорится в сообщении.

Злоумышленники подменили на сайте энергетической компании около двух десятков ссылок, по каждой из которых скачивался самораспаковывающийся архив. Он содержал в себе исходный документ, а также один и тот же исполняемый файл — новое вредоносное ПО, которое аналитики «Лаборатории Касперского» назвали CMoon за соответствующие строки в коде вредоносного файла.

Сложность атаки указывает на то, что она была нацелена на посетителей сайта конкретной организации и была тщательно подготовлена. Червь мог искать и отправлять на сервер злоумышленников файлы из пользовательских папок Desktop, Documents, Photos, Downloads и с внешних носителей, содержащие в тексте подстроки «секрет», «служебн», «парол» и другие ключевые слова — это является признаком целевой атаки. Также могли скачиваться файлы со сведениями о защите системы, действиях пользователя и его учётных данных. Кроме того, зловред мог делать скриншоты экрана.

Из веб-браузеров могли собираться файлы, содержащие сохранённые пароли, файлы cookie, закладки, история посещений, а также сведения для автозаполнения форм, включая данные о кредитных картах.

Червь мог мониторить подключённые USB-накопители. Это позволяло украсть потенциально интересные злоумышленникам файлы со съёмных носителей, а также скопировать на них червь и заразить другие компьютеры, к которым накопитель мог быть подключён.

По данным «Лаборатории Касперского», с угрозой столкнулось незначительное количество пользователей.