Национальная команда реагирования на киберинциденты CERT-UA зафиксировала новую серию целенаправленных кибератак на государственные учреждения и предприятия оборонно-промышленного комплекса Украины.
Эту информацию опубликовала пресс-служба Государственной специальной связи.
Группа UAC-0099 значительно обновила свои инструменты, применяя новые вредоносные программы, такие как MATCHBOIL, MATCHWOK и DRAGSTARE, направленные на кражу данных и получение удаленного контроля над системами.
Атака начинается с фишинговых писем, маскирующихся под официальные документы, такие как "судебные повестки." Эти письма содержат ссылки на легитимные файлообменные сервисы, что приводит к загрузке ZIP-архива с вредоносным HTA-файлом. Это начало многоэтапной атаки.
Запуск HTA-файла активирует код VBScript, который создает два файла на компьютере жертвы: один с HEX-кодированными данными и другой с PowerShell-кодом. Для выполнения этого кода создается запланированное задание. Следующий шаг - PowerShell-скрипт декодирует данные и формирует исполняемый файл загрузчика MATCHBOIL, который закрепляется в системе через собственное запланированное задание.
Основные цели этой группы - органы власти Украины, подразделения сил обороны и предприятия, работающие в интересах оборонной промышленности.
Исследование CERT-UA выявило три новых образца вредоносного ПО, что свидетельствует об эволюции тактик группы.
MATCHBOIL (Загрузчик) - его основная задача - доставить основное вредоносное содержимое на зараженный компьютер, собирая информацию о системе для идентификации на командном сервере.
MATCHWOK (Бекдор) - позволяет злоумышленникам удаленно выполнять произвольные команды PowerShell на зараженной системе, включая антианализ и проверку на наличие инструментов, таких как Wireshark.
DRAGSTARE (Крадитель данных) - выполняет комплексный сбор данных, включая информацию о системе, данные браузеров и файлы с рабочего стола.
РЕКОМЕНДАЦИИ ОТ CERT-UA
Для противодействия описанным угрозам рекомендуется:
- Усилить контроль над входящей корреспонденцией и обучить сотрудников распознавать фишинговые письма.
- Ограничить выполнение скриптов и настроить политики безопасности для блокировки HTA-файлов.
- Внедрить мониторинг конечных точек для отслеживания подозрительной активности.
- Обеспечить защиту сетевого периметра с помощью систем IDS/IPS.
- Регулярно обновлять программное обеспечение для защиты от известных уязвимостей.