Заражение осуществляется с помощью рассылки почтовых сообщений с вложенным файлом, выглядящим как документ Microsoft Office Word - на деле, кликнув по нему, пользователь скачивает шпионскую программу со взломанного злоумышленниками сервера, который они используют для распространения вредоносных программ. Киберпреступники контролируют действия своих жертв с помощью кейлоггера HawkEye - коммерческой утилиты для слежки авторства группы HawkEyeProducts, а также конфигурационного модуля, содержащего ряд инструментов удаленного управления.

"Мы наблюдаем множество кибершпионских кампаний, нацеленных на корпорации, государственные службы и другие заметные организации. При этом Grabit наглядно демонстрирует, что охота идет не только за крупной добычей - в цифровом мире любое предприятие может быть интересно той или иной киберпреступной группировке. Кампания Grabit все еще активна, поэтому владельцам бизнеса крайне важно проверить компьютеры своей сети на наличие его следов. Используемый в Grabit кейлоггер накопил тысячи реквизитов доступа из сотен зараженных систем - угрозой такого уровня нельзя пренебрегать", - говорит Идо Наор, антивирусный эксперт "Лаборатории Касперского".

Иллюстрацией масштаба кибероперации Grabit служит собранная "Лабораторией Касперского" статистика: всего на одном управляющем сервере злоумышленников было обнаружено 2997 паролей, 1053 электронных письма, 3023 имен пользователей от 4928 различных серверов (внутренних и внешних), включая учетные записи Outlook, Facebook, Skype, Google Mail, Pinterest, Yahoo, LinkedIn и Twitter, а также ряда банковских счетов.

Стоящие за Grabit злоумышленники непоследовательны: не прилагая особых усилий для сокрытия своей активности (некоторые образцы использовали одинаковый хостинг-сервер и даже одинаковые учетные записи для доступа к нему, подрывая собственную безопасность), они, тем не менее, используют сложные приемы, чтобы скрыть свои коды от аналитиков. Это наводит на мысль о том, что за операцией стоят специалисты разного уровня - кто-то из них явно больше беспокоится об анонимности, чем остальные. Эксперты "Лаборатории Касперского" полагают: кто бы ни отвечал за разработку вредоносного кода - он не был написан с нуля.

Для защиты от Grabit рекомендуются следующее следующие меры:

Все продукты "Лаборатории Касперского" выявляют любые известные на данный момент образцы Grabit и защищают пользователей от этой угрозы.

Узнать подробности киберкампании можно здесь.