Под прицелом оказались корпоративные сети испаноязычных стран Латинской Америки
Киберпреступная группировка Dark Caracal, действующая с 2012 года, сменила инструментарий и тактику атак. К такому выводу пришли специалисты департамента Threat Intelligence экспертного центра безопасности Positive Technologies (PT Expert Security Center, PT ESC) в результате исследования вредоносного программного обеспечения Poco RAT. Ранее бэкдор не был атрибутирован к какой-либо известной группировке, однако дополнительный анализ атак позволил экспертам связать активность с Dark Caracal.
В течение 2024 года внутренними системами киберразведки PT Expert Security Center фиксировалась кампания с использованием вредоносного программного обеспечения Poco RAT — бэкдора, позволяющего удаленно управлять устройством жертвы. Атаки были направлены на испаноговорящих пользователей, о чем свидетельствуют язык фишинговых писем и содержание вредоносных вложений. Основными странами, из которых в публичные песочницы загружались образцы вредоноса, оказались Венесуэла, Чили, Доминиканская Республика и Колумбия.
Человек получал письмо с уведомлением о необходимости оплатить квитанцию, а во вложении был документ-приманка, название которого имитировало финансовые взаимоотношения между жертвой и фишинговой организацией. Такие файлы-приманки не детектировались антивирусом и имели размытый (нечеткий) внешний вид, что побуждало неопытных пользователей открыть документ, после чего автоматически скачивался .rev-архив. Внутри него содержался дроппер1, название которого совпадало с названием документа-приманки, что укрепляло доверие жертвы. Основная задача дроппера — подготовить и запустить Poco RAT, не оставляя следов на диске.
Dark Caracal по заказу взламывает правительственные и военные структуры, активистов, журналистов и коммерческие организации. Основным инструментом для совершения атак является троян удаленного доступа Bandook, который используется исключительно этой группировкой.
Примечательно, что распространение семплов Bandook прекращается именно тогда, когда специалисты PT ESC начинают фиксировать образцы Poco RAT, имеющие функциональные сходства с предшественником и использующие схожую сетевую инфраструктуру.
