Вредоносная кампания, которая получила название EastWind, была направлена на кражу служебной информации.
Начало атаки. Для первоначального заражения организаций злоумышленники рассылали письма с архивами во вложении. Внутри этих архивов находились вредоносные ярлыки, замаскированные под документы. При нажатии на ярлыки начиналась установка троянской программы, взаимодействующей со злоумышленниками при помощи облачного хранилища Dropbox.
Кража информации. После проникновения в сети организаций злоумышленники запускали на заражённых компьютерах вредоносные программы, предназначенные для кибершпионажа. Одной из них оказалась обновлённая версия бэкдора CloudSorcerer, о котором «Лаборатория Касперского» сообщила в начале июля. Примечательно, что вскоре после публикации об этом бэкдоре злоумышленники усовершенствовали его, добавив в него возможность использовать российскую социальную сеть «Живой Журнал» в качестве первоначального командного сервера. Данное нововведение было разработано, чтобы тщательнее маскировать активность бэкдора.
Помимо CloudSorcerer, на компьютеры также загружались вредоносные инструменты, используемые говорящими на китайском языке кибергруппами APT27 и APT31. Эти зловреды обладают обширным функциональностью: они позволяют злоумышленникам осуществлять кражу файлов, наблюдать за действиями на экране и записывать нажатия клавиш на заражённых устройствах.
