UAC-0184 APT IOCs

CERT-UA в течение 2024 года фиксирует повышенная активность группировки UAC-0184, целью которой является получение доступа к компьютерам представителей Сил обороны Украины с целью похищения документов и данных мессенджеров.

Содержание

Как правило, основным каналом доставки вредоносных программ являются популярные мессенджеры, а методы первичного проникновения предусматривают использование элементов социальной инженерии, среди которых, например, сопроводительное сообщение-приманка на тему открытия исполнительного производства/уголовного дела, видео боевых действий, или запрос на знакомство через популярные платформы и дальнейшая переписка с военнослужащим, во время которой последнему передается файл (архив) с просьбой помочь в его открытии/обработке.

В процессе реализации злонамеренного замысла злоумышленники применяют определенный набор программного обеспечения, среди которого как коммерческие программы, так и утилиты с открытым исходным кодом, в частности:

IDAT (HijackLoader, SHADOWLADDER, GHOSTPULSE); используется на этапе первичного поражения
REMCOSRAT
VIOTTOKEYLOGGER
XWORM
SIGTOP (https://github.com/tbvdm/sigtop)
TUSC (https://github.com/jackhftang/tusc)

При этом, SIGTOP и TUSC используются для похищения и выгрузки данных из ЭВМ, в частности, сообщений и контактных данных Signal, который является довольно популярным среди военных.

Indicators of Compromise

IPv4

178.33.57.148
178.33.57.149
178.33.57.159
185.196.11.194
193.203.202.17
51.38.145.47
78.153.139.61
88.151.192.14
94.156.66.107

IPv4 Port Combinations

178.33.57.148:443
178.33.57.149:443
178.33.57.159:8899
88.151.192.14:443

Domain Port Combinations

biches-yeah.co.ua:443
the-new-age.co.ua:443

Domains

biches-yeah.co.ua
honorarium.app
i-like-hokku.co.ua
the-new-age.co.ua
yeah-biches.kyiv.ua

URLs

http://51.38.145.47:8080/files/
http://94.156.66.107:9000/hooks/
http://94.156.66.107:9000/hooks/adolf?id=
http://94.156.66.107:9000/hooks/hitler?id=
http://94.156.66.107:9000/hooks/hoh?id=
http://94.156.66.107:9000/hooks/stalin?id=
http://94.156.66.107:9000/hooks/virustotalsuckmycock?id=
http://i-like-hokku.co.ua/securitycheck.exe
http://i-like-hokku.co.ua/sud/dvs.exe
http://yeah-biches.kyiv.ua/securitycheck.exe
http://yeah-biches.kyiv.ua/sud/dvs.exe
https://filebin.net/akmars050hvzkugb/921292777.png
https://filebin.net/hkobfchvrlvuvde5/1957527649.png
https://filebin.net/k57pkv8a2l5q44ih/1924193640.png
https://filebin.net/k57pkv8a2l5q44ih/2054226167.png
https://filebin.net/k57pkv8a2l5q44ih/2104948599.png
https://filebin.net/rxkzy5f1lu7mlyvn/1787042981.png
https://filebin.net/y8fqblpo6o1uj2jt/509971709.png

MD5

0725e4a7fbd9bff20f5e7da3bbb0ba58
0c1eb2f8168941dc911360995e8b200c
1039fefdf3d81b8ffa75bb8e3c903f47
17e72838121b3aaff13e01e443ab7174
1b70d8252ac9e0b13b37af21a0000b07
2187ca67657d502a71dba2ea1e4d92c8
2339791b0c6a19da0476dbcaa7159935
26f37f256a0a875afc8ceb146ea63bf6
345af6f54758467ec9bf5c5157c7a879
383a67b349fbffb3857ce9dc1927bf62
3b2c59a8f7a578287b38875acd6640f6
3e8d21d1382f04412465dd9520e3dae7
3f4d7c6eb06de8af26f6e07f3b839490
3f96fdc197d8501a53c6bef74f20e2fb
41a1739e4241c0b136f2c96de5eaaca0
4aed86dd41790e67a0d1c678b6ffc8d3
5135c44ba36691bbc00785e5c57cac5d
543cf4b2a38b8f3498e42859a912cc92
5724896a5ddc8c4ad353778b303133fe
59a68c02285ebd01654baa29f3b3a805
5a08632d5448df5ac9acf9a34736fe72
5dc560969d6eec240118b0e225805216
61cc7fa5dc4ea2711c1e51e37d9c708c
666a0743c92410b48df95c801fdba4ec
6b4564a367d8c213110a5f18f974f1f0
6b95e3373f385af2bd19f772b9d5d5ec
6da225a4d33cea57b2590def33a9de4e
714b6ba92b7606d29389a09f3e5b4b75
75c69faae4e66a2b60bf42b989df62c8
75fa587088432c55b8d34d634c8ad482
787d72fe797f845930862f02bed91243
79f98fa6a2bcd792c9384af3854add88
7a4c57ae94225428023d9a7b56728ebf
7bd151bc24028dfcbebf8c274457e81c
8111e670ac006f6d37e552a52edf49c7
8bb5b10180d3bdbd127ab48bdab4e983
8d4dab99bd745646d4bcaf00e3c7b393
8d55f2d1cb6214c7486cc10bf3b920f5
90662092509d9dd9678a608aedc45c25
91f58b645c42fd9609f34394d88a8e85
93aa62027dbf496614b78b8e66fc3a2c
9f0407b644889bce12bd90af95ed8774
a0b2c9dff497e41d701fe324e42ff247
a0d5d7622fc17c14657cfca5a23f6387
a2b82db42a6717a803aca73bf2745575
ad5e3cd30bb91a909ee4ca5fb7d9b475
ae8753eb397d9017138c50cb457793ce
b2674fde753a910fb71f1f107d579ff4
b2d731ed62b09eeb657d54d7a4f10c93
c047ae13fc1e25bc494b17ca10aa179e
c04876a292f6b0a2f4971b9c44c87e00
c2be35b383239225a934488457ea8ff1
c4e8c2f5031ecf9ca5f92dd6fbee8b08
c883a8eaa3f125a3a107259bf1f2b925
c975a325bd1d67471e14dc4a1234804f
cb4c21ab082d4acc4712089f4cd517b8
cbc9893e7d6a1de40a4b7dd14cd46441
cf07ac3592e671961058152b0269e8ed
d18fb093ce7bcdff2d2deffb344e7256
d1dc022a74b10dcffbfb2e30781d3f83
d43850f50f79af6a64662e47e4db4935
da57dafe05612061ea98cf24c989ceb7
dec320276e23b75abd955aba0a1478e4
e329df17c08f1d17d19a89ed01b17675
e4e8b6c21d23f60f901a1eaeb3a618f3
e5e13095c599f97692603ed5824a76c3
e60f23abeaaa582465271c9e30ab141d
e6bb50d406af0e2138102ab6b28992e6
ea1c5b89ce28961275aa07f015c58aa2
f29db2e48ec3d5595da620ffaa7196c2
f56f6e36f971168f7f341355a3fa118f
f601e9ba0ab29dc26e3c0e78b08bc54c
f779325cb19ff726942f6d500e8eba0a
f8421dcfbe800da72accdad1188638ad
fb6d78e337887ba75a12e1e0a866fa61
fcde19dd8c0e18d093072c44eb6fb984

SHA256
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