Події

​​ Зловмисники розпочали чергову кампанію атак із використанням електронних л…

​​???? Зловмисники розпочали чергову кампанію атак із використанням електронних листів на тему «рахунків» – аналіз

????️ Урядова команда реагування на комп’ютерні надзвичайні події України CERT-UA виявила та дослідила факт чергової кампанії з розповсюдження хакерським угрупуванням UAC-0006 електронних листів на тему «рахунків».

Зловмисники розсилають листи з вкладенням у вигляді ZIP або RAR-архіву, що містить шкідливу програму SmokeLoader. Для надсилання застосовують легітимні скомпрометовані електронні поштові скриньки.

???? У CERT-UA відзначають низку змін у тактиках, техніках і процедурах UAC-0006:

???? використання кількох ланцюгів ураження;

???? розповсюджуваний зразок SmokeLoader містить 26 URL-адрес серверу управління бот-мережею (переважна більшість доменів не зареєстрована);

???? виявлення шкідливої програми Cobalt Strike Beacon може свідчити про розширення переліку використовуваного угрупуванням інструментарію.

???? Для реєстрації доменних імен та розміщення серверів управління бот-мережею зловмисники використовують російських реєстраторів доменних імен та провайдерів: @reg.ru, @nic.ru, @iqhost.ru, @macloud.ru, @cloudx.ru, які сприяють реалізації зловмисного задуму.

Як нагадують у CERT-UA, для запуску JavaScript-завантажувача, який забезпечує доставку і запуск SmokeLoader, використовується Windows Script Host (wscript.exe, cscript.exe); у зв’язку з чим, з метою зменшення поверхні атаки, рекомендується обмежити можливість використання цієї технології на ЕОМ.

У CERT-UA також зауважують, що активність групи UAC-0006 є фінансово мотивованою та здійснювалась від 2013 року по липень 2021 року. Нові активності, які були зафіксовані у травні 2023 року, стали своєрідним «поверненням» групи.

ℹ️ Загальна інформація щодо атаки та індикатори кіберзагроз доступні за посиланням ????
???? https://cert.gov.ua/article/4555802

Back to top button