Исследователи компании Volexity обнаружили новое вредоносное ПО и рассказали о подробностях его использования в атаках, нацеленных на правительственные учреждения Индии. Зловред, получивший название DISGOMOJI, подобен многим другим бэкдорам, позволяющим хакерам удаленно выполнять многочисленные противоправные действия на компьютерах жертв: искать и похищать нужные файлы, осуществлять загрузку дополнительного вредоносного ПО, делать скриншоты экрана и т.д. Но есть ряд весьма любопытных отличий.

DISGOMOJI атакует устройства под управлением определенных версий операционной системы Linux, в частности, версии BOSS, широко используемой компьютерами многих правительственных учреждений Индии. Первоначальное инфицирование осуществляется через вредоносные вложения в фишинговых сообщениях электронной почты. А вот дальнейший механизм взаимодействия организаторов атаки с инфицированным устройством весьма необычен. В качестве командного сервера выступает один из серверов Discord. Это популярная платформа обмена текстовыми и голосовыми сообщениями, трансформировавшаяся со временем в полноценную социальную сеть. Каждый ее сервер объединяет пользователей по тематическому принципу ‒ поклонников видеоигр, тех или иных музыкальных жанров и т.д. Судя по всему, хакерам удалось установить контроль над одним из серверов Discord.

Еще любопытнее то, что команды на пораженное устройство передаются в виде символов эмодзи. Так, например, эмодзи в виде изображения кисти руки с указательным пальцем, направленным вниз, является командой отправить на сервер похищенные данные, а указательный палец, направленный вверх ‒ приказ загрузить на устройство жертвы некий дополнительный файл; эмодзи в виде фотокамеры с работающей вспышкой ‒ команда сделать снимок экрана; эмодзи с лисьей мордой ‒ необходимость создать архив с данными всех пользовательских профилей в браузере Firefox ‒ и список таких команд можно продолжать еще долго.

Со стороны такой способ коммуникации может выглядеть ребячеством, но исследователи указывают, что в нем точно есть определенный смысл. Обращение к серверам вполне легитимной платформы Discord не вызывает подозрений у защитных решений. И точно так же эти решения бдительно отслеживают коды и словесные команды, но не обращают внимания на эмодзи, чем, очевидно, и решили воспользоваться хакеры. По мнению исследователей Discord, за атакой, имеющей явные признаки кибершпионажа, вероятнее всего, стоит пакистанская киберпреступная группировка UTA0137.