Команда CERT-UA, що відповідає за реагування на кіберінциденти, виявила нові цілеспрямовані кібератаки на державні установи та оборонні підприємства.
Цю інформацію оприлюднили у пресслужбі Держспецзв'язку.
Атакуюча група під назвою UAC-0099 оновила свій інструментарій та почала використовувати нові зразки шкідливих програм, зокрема MATCHBOIL, MATCHWOK і DRAGSTARE. Зловмисники застосовують багатоступеневу схему для викрадення даних та отримання віддаленого доступу до систем.
Процес атаки починається з розсилки фішингових листів, які часто видаються за офіційні документи, наприклад, «судові повістки». Листи містять посилання на легітимний сервіс обміну файлами, що веде до завантаження ZIP-архіву з шкідливим HTA-файлом. Це й є початок складної атаки.
При виконанні HTA-файлу запускається VBScript-код, який створює на комп'ютері жертви два файли: один з HEX-кодом, інший – з PowerShell-кодом. Для виконання цього коду створюється заплановане завдання. Наступним етапом PowerShell-скрипт декодує дані і створює виконуваний файл лоадера MATCHBOIL, який закріплюється в системі через заплановане завдання.
Основними мішенями групи є органи державної влади та оборонні підприємства України.
Дослідження CERT-UA виявило три нові зразки шкідливого ПО, що свідчить про еволюцію тактик, технік і процедур зловмисників.
MATCHBOIL (лоадер). Головна мета програми – доставити на уражений комп'ютер основне шкідливе навантаження, збираючи базову інформацію про систему для ідентифікації жертви на сервері управління.
MATCHWOK (бекдор). Цей інструмент дозволяє зловмисникам виконувати команди PowerShell на ураженій системі, надсилаючи їх у зашифрованому вигляді з сервера управління.
DRAGSTARE (викрадач). Він проводить комплексний збір даних, включаючи інформацію про систему та аутентифікаційні дані з браузерів.
РЕКОМЕНДАЦІЇ ВІД CERT-UA
Для протидії зазначеним загрозам необхідно:
- Посилити контроль за вхідною кореспонденцією та навчити співробітників розпізнавати фішингові листи.
- Обмежити виконання скриптів, налаштувавши політики безпеки.
- Впровадити моніторинг кінцевих точок для виявлення підозрілої активності.
- Забезпечити захист мережевого периметра сучасними системами виявлення вторгнень.
- Регулярно оновлювати програмне забезпечення для захисту від вразливостей.
