Команда CERT-UA, отвечающая за реагирование на киберинциденты, обнаружила новые целенаправленные кибератаки на государственные учреждения и оборонные предприятия.
Эту информацию опубликовала пресс-служба Госспецсвязи.
Атакующая группа под названием UAC-0099 обновила свой инструментарий и начала использовать новые образцы вредоносного ПО, такие как MATCHBOIL, MATCHWOK и DRAGSTARE. Злоумышленники применяют многоступенчатый подход для кражи данных и получения удаленного доступа к системам.
Процесс атаки начинается с рассылки фишинговых писем, которые часто выдают себя за официальные документы, например, «судебные повестки». Письма содержат ссылки на легитимный сервис обмена файлами, что приводит к загрузке ZIP-архива с вредоносным HTA-файлом. Это и есть начало сложной атаки.
При выполнении HTA-файла запускается код VBScript, который создает на компьютере жертвы два файла: один с HEX-кодом, другой – с PowerShell-кодом. Для выполнения этого кода создается запланированная задача. Следующий этап включает декодирование данных с помощью PowerShell-скрипта для формирования исполняемого файла загрузчика MATCHBOIL, который внедряется в систему через запланированную задачу.
Основные цели группы – органы государственной власти и оборонные предприятия Украины.
Исследование CERT-UA выявило три новых образца вредоносного ПО, что свидетельствует о эволюции тактик, техник и процедур злоумышленников.
MATCHBOIL (Загрузчик). Главная задача этой программы – доставить основное вредоносное воздействие на инфицированный компьютер, собирая основную информацию о системе для идентификации жертвы на сервере управления.
MATCHWOK (Обратная дверь). Этот инструмент позволяет злоумышленникам выполнять произвольные команды PowerShell на инфицированной системе, получая их в зашифрованном виде с сервера управления.
DRAGSTARE (Крадец). Он проводит комплексный сбор данных, включая информацию о системе и аутентификационные данные из браузеров.
РЕКОМЕНДАЦИИ ОТ CERT-UA
Для противодействия указанным угрозам необходимо:
- Усилить контроль за входящей корреспонденцией и обучить сотрудников распознавать фишинговые письма.
- Ограничить выполнение скриптов, настроив политики безопасности.
- Внедрить мониторинг конечных точек для выявления подозрительной активности.
- Обеспечить защиту сетевого периметра современными системами обнаружения вторжений.
- Регулярно обновлять программное обеспечение для защиты от уязвимостей.
