Спеціалізована команда з кібербезпеки CERT-UA зафіксувала серію нових цілеспрямованих атак на державні установи та підприємства оборонно-промислового комплексу України.
Цю інформацію оприлюднила пресслужба Держспецзв'язку.
Група UAC-0099 суттєво модернізувала свій арсенал, застосовуючи нові шкідливі програми, такі як MATCHBOIL, MATCHWOK та DRAGSTARE, що спрямовані на викрадення інформації та отримання контролю над системами.
Атака розпочинається з фішингових листів, які маскуються під офіційні документи, наприклад, судові повістки. Листи містять посилання на легітимні файлообмінники, що веде до завантаження ZIP-архіву з шкідливим HTA-файлом. Це перший етап багатоетапної атаки.
Запуск HTA-файлу активує VBScript, який створює два файли на комп'ютері жертви: один з HEX-кодом, інший з PowerShell-кодом. Для виконання коду створюється заплановане завдання. Далі PowerShell-скрипт розкодовує дані та формує виконуваний файл MATCHBOIL, який закріплюється в системі через заплановане завдання.
Основні цілі угрупування - органи влади України, підрозділи Сил оборони та підприємства оборонної промисловості.
Дослідження CERT-UA виявило три нові зразки шкідливого ПЗ, що демонструє еволюцію тактик угрупування.
MATCHBOIL (Завантажувач) - мета програми - доставити основне шкідливе навантаження на комп'ютер жертви, збираючи інформацію про систему для ідентифікації на сервері управління.
MATCHWOK (Бекдор) - дозволяє зловмисникам віддалено виконувати команди PowerShell на зараженій системі, зокрема перевіряючи наявність аналітичних інструментів.
DRAGSTARE (Викрадач) - виконує збір даних, включаючи системну інформацію, дані браузерів та файли з робочого столу.
РЕКОМЕНДАЦІЇ ВІД CERT-UA
Для боротьби з такими загрозами рекомендується:
- Посилити контроль за електронною поштою та навчити співробітників виявляти фішингові листи.
- Обмежити виконання скриптів та налаштувати політики безпеки для блокування HTA-файлів.
- Впровадити моніторинг кінцевих точок для виявлення підозрілої активності.
- Забезпечити захист мережевого периметра за допомогою IDS/IPS.
- Регулярно оновлювати програмне забезпечення для захисту від вразливостей.