Национальная команда реагирования на киберинциденты CERT-UA обнаружила новые целенаправленные кибератаки на государственные учреждения и оборонный сектор.
Об этом сообщила пресс-служба Государственной специальной связи.
Угрозы исходят от группы UAC-0099, которая значительно обновила свои инструменты и начала использовать новые вредоносные программы MATCHBOIL, MATCHWOK и DRAGSTARE. Нападающие применяют многоступенчатый подход, направленный на кражу данных и удаленный контроль над системами.
Атаки обычно начинаются с фишинговых писем, замаскированных под официальные документы, такие как "судебные повестки". Эти письма содержат ссылки на легитимный файловый обменный сервис, и переход по ним запускает загрузку ZIP-архива с вредоносным HTA-файлом.
Запуск HTA-файла активирует VBScript, который создает два файла на компьютере жертвы: один с HEX-кодом, другой – с PowerShell-кодом. Создается запланированное задание для обеспечения выполнения этого кода. Затем PowerShell-скрипт декодирует данные и формирует исполняемый файл MATCHBOIL, который встраивается в систему через свое собственное запланированное задание.
Основными целями являются государственные органы Украины, подразделения Сил обороны и предприятия, работающие в оборонном секторе.
Исследование CERT-UA выявило три новых образца вредоносного ПО, что свидетельствует о развитии тактик группы.
MATCHBOIL (Загрузчик) отвечает за доставку основного вредоносного груза на зараженный компьютер, собирая информацию о системе для идентификации жертвы.
MATCHWOK (Обратная дверь) позволяет злоумышленникам выполнять произвольные команды PowerShell на зараженной системе, проверяя наличие аналитических инструментов.
DRAGSTARE (Крадущий информацию) осуществляет комплексный сбор данных, включая системную информацию и данные браузеров.
Рекомендации CERT-UA:
- Увеличьте бдительность при обработке входящей корреспонденции.
- Ограничьте выполнение скриптов.
- Реализуйте мониторинг конечных точек.
- Обеспечьте защиту сетевого периметра.
- Регулярно обновляйте программное обеспечение.
