Команда CERT-UA, що відповідає за реагування на кіберінциденти, виявила нові загрози, спрямовані на державні установи та підприємства оборонної промисловості.
Пресслужба Держспецзв'язку підтвердила інформацію про атаки, які реалізуються групою UAC-0099. Ця група оновила свої методи та використовує нові шкідливі програми MATCHBOIL, MATCHWOK і DRAGSTARE. Атакуючі вживають багатоступеневі методи для викрадення даних та отримання доступу до систем.
Процес атаки починається з фішингових листів, які маскуються під офіційні документи, наприклад, судові повістки. Листи містять посилання на легітимний сервіс обміну файлами, що ініціює завантаження ZIP-архіву з шкідливим HTA-файлом.
Виконання HTA-файлу активує VBScript, який створює два файли на комп'ютері жертви: один з HEX-кодованими даними, інший з PowerShell-кодом. Цей код виконується через заплановане завдання. Наступний етап включає декодування даних PowerShell-скриптом, що формує виконуваний файл MATCHBOIL, який закріплюється в системі через заплановане завдання.
Основними цілями атак є державні органи України, підрозділи Сил оборони та підприємства оборонної промисловості.
Дослідження CERT-UA виявило три нові зразки шкідливого програмного забезпечення, що підтверджує еволюцію тактик і методів групи.
MATCHBOIL (Завантажувач). Його головна мета — доставити основне шкідливе навантаження на уражений комп'ютер, збираючи інформацію про систему для ідентифікації жертви.
MATCHWOK (Бекдор). Цей компонент дозволяє зловмисникам виконувати команди PowerShell на ураженій системі, отримуючи команди з зашифрованого каналу.
DRAGSTARE (Викрадач). Цей інструмент збирає системну інформацію, дані браузерів і файли з робочого столу та документів.
Рекомендації від CERT-UA:
- Контролюйте вхідну пошту, навчайте співробітників розпізнавати фішингові листи.
- Обмежте виконання скриптів і налаштуйте політики безпеки для блокування HTA-файлів.
- Впроваджуйте моніторинг кінцевих точок для виявлення підозрілої активності.
- Забезпечте захист мережі за допомогою IDS/IPS систем.
- Регулярно оновлюйте програмне забезпечення для захисту від вразливостей.