Группировка APT31 присылает своим жертвам электронные письма со ссылкой, ведущей на GitHub, откуда на систему загружается вредоносное ПО, позволяющее злоумышленникам загружать и скачивать файлы, а также выполнять команды. Поскольку киберпреступники используют такие серверы, как GitHub и Dropbox, их сложнее отслеживать.
По словам руководителя Google Threat Analysis Group Шейна Хантли (Shane Huntley), каждый использующийся в атаке вредоносный элемент хранится на легитимном ресурсе, поэтому для отслеживания злоумышленников защитникам сложнее полагаться на сигналы сети.
В случае с APT31, получателю фишингового электронного письма предлагается загрузить с GitHub и установить легитимное антивирусное ПО McAfee, но вместе с ним без ведома жертвы на ее систему также устанавливается вредоносное ПО. Вредонос представляет собой написанный на языке программирования Python имплант, использующий Dropbox в качестве C&C.
Хантли не уточнил, кто является жертвами последних атак APT31, но сообщил о «повышенном внимание к угрозам, исходящим от APT в контексте выборов в США». Своими выводами специалисты Google поделились с ФБР.