Η Ουκρανική εταιρεία CERT-UA προειδοποιεί για νέα phishing καμπάνια από την ομάδα APT28, η οποία συνδέεται με τη Ρωσία.
Αυτή η δραστηριότητα, που εκδηλώθηκε από τις 15 έως τις 25 Δεκεμβρίου 2023, απευθύνεται σε κυβερνητικούς φορείς με email που καλούν τους παραλήπτες να κάνουν κλικ σε έναν σύνδεσμο που ενδέχεται να περιλαμβάνει κακόβουλο λογισμικό.
Διαβάστε ακόμη: Το CERT-UA προειδοποιεί για επιθέσεις malware SmokeLoader και RoarBAT κατά της Ουκρανίας
Οι συνδέσμοι αυτοί ανακατευθύνονται προς ιστότοπους που εκμεταλλεύονται το JavaScript και το πρωτόκολλο URI “search-ms:” προκειμένου να εκτελέσουν κακόβουλες ενέργειες, συμπεριλαμβανομένων εντολών PowerShell για τη δημιουργία αλυσίδας μόλυνσης με το κακόβουλο λογισμικό MASEPIE.
Το MASEPIE είναι ένα εργαλείο που χρησιμοποιείται για τη λήψη και φόρτωση αρχείων, καθώς και την εκτέλεση εντολών, επικοινωνώντας με έναν διακομιστή εντολών και ελέγχου (C2) μέσω κρυπτογραφημένου καναλιού TCP.
Οι επιθέσεις δημιουργούν την ευκαιρία για την ανάπτυξη κακόβουλου λογισμικού, όπως το STEELHOOK, το οποίο συλλέγει δεδομένα περιήγησης, καθώς και το backdoor OCEANMAP, το οποίο χρησιμοποιείται για την εκτέλεση εντολών μέσω του cmd.exe και του πρωτοκόλλου IMAP ως κανάλι ελέγχου.
Αποκαλύφθηκε, ότι εντολές σε κωδικοποιημένη βάση 64 βρίσκονται στο φάκελο “Πρόχειρα” στα email, περιέχοντας πληροφορίες για υπολογιστές, χρήστες και έκδοση λειτουργικού συστήματος.Τα αποτελέσματα αποθηκεύονται στον φάκελο “Εισερχομένα”. Οι δραστηριότητες πραγματοποιούνται μετά από διαπραγμάτευση, χρησιμοποιώντας εργαλεία όπως το Impacket και το SMBExec.
Δείτε επίσης: Τα phishing sites για υπηρεσίες παράδοσης προϊόντων αυξήθηκαν το Δεκέμβριο
Επιπλέον, ανακοινώθηκε ότι η ομάδα APT28 χρησιμοποίησε δολώματα κατά τη διάρκεια του πολέμου μεταξύ Ισραήλ και Χαμάς, με τη χρήση μιας εξειδικευμένης πύλης με το όνομα HeadLace. Επιπλέον, υπάρχουν αναφορές ότι οι ρωσικές ομάδες hacking, μεταξύ άλλων, εκμεταλλεύτηκαν ένα σοβαρό πρόβλημα ασφαλείας (CVE-2023-23397) στην υπηρεσία email του Outlook, το οποίο έχει βαθμολογηθεί με 9,8 στην κλίμακα CVSS, για να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε λογαριασμούς του διακομιστή Exchange.
Πηγή: thehackernews.com
