Національна команда з реагування на кіберінциденти CERT-UA виявила нову хвилю цілеспрямованих кібератак, що спрямовані на державні установи та підприємства оборонної сфери.
Про це повідомляє пресслужба Держспецзв'язку.
Злочинна група UAC-0099 оновила свої інструменти та почала використовувати нові шкідливі програми, такі як MATCHBOIL, MATCHWOK і DRAGSTARE. Зловмисники використовують складний ланцюг для викрадення даних і отримання контролю над системами.
Атака починається з фішингових електронних листів, які маскуються під офіційні документи, наприклад, під "судові повістки". Листи містять посилання на легітимний файлообмінник. Переходячи за ним, жертва завантажує ZIP-архів, що містить шкідливий HTA-файл. Це перший етап атаки.
Запуск HTA-файлу активує VBScript, який створює на комп'ютері жертви два файли з HEX-кодом і PowerShell-кодом. Для виконання цього коду створюється заплановане завдання. Далі PowerShell-скрипт декодує дані та формує виконуваний файл MATCHBOIL, який закріплюється в системі через заплановане завдання.
Основними цілями злочинної групи є державні органи України, підрозділи Сил оборони та підприємства оборонного комплексу.
Дослідження CERT-UA виявило три нові зразки шкідливого програмного забезпечення, що свідчить про еволюцію тактик угруповання.
MATCHBOIL (Завантажувач). Головна мета програми - доставити основне шкідливе навантаження на комп'ютер жертви. MATCHBOIL збирає основну інформацію про систему для ідентифікації жертви на сервері управління.
MATCHWOK (Бекдор). Дозволяє зловмисникам виконувати команди PowerShell на ураженій системі. Всі команди надходять з серверу управління в зашифрованому вигляді.
DRAGSTARE (Викрадач). Здійснює збір даних, включаючи інформацію про систему, дані браузерів та файли з певними розширеннями.
РЕКОМЕНДАЦІЇ ВІД CERT-UA
Для протидії загрозам необхідно:
- Проводити навчання співробітників щодо виявлення фішингових листів.
- Обмежити виконання скриптів і налаштувати політики безпеки для блокування HTA-файлів.
- Впровадити моніторинг кінцевих точок.
- Забезпечити захист мережевого периметра.
- Регулярно оновлювати програмне забезпечення.
