Gamaredon APT IOCs - Part 7

security IOC

Исследователи из Lookout Threat Lab обнаружили два инструмента для слежки за Android, BoneSpy и PlainGnome, связанные с APT-группой Gamaredon (Aqua Blizzard). Эти инструменты были нацелены на русскоязычных людей в бывших советских республиках, причем BoneSpy действует как минимум с 2021 года, а PlainGnome появился в 2024 году.

Gamaredon APT

BoneSpy и PlainGnome собирают конфиденциальные мобильные данные, такие как SMS, журналы вызовов, фотографии, местоположение устройства и списки контактов с андроид-устройств. BoneSpy является производной от российского DroidWatcher с открытым исходным кодом, в то время как PlainGnome, разработанный не на той же кодовой базе, выступает в качестве дроппера для полезной нагрузки наблюдения. Примечательно, что BoneSpy может управляться с помощью SMS-сообщений.

Принадлежность к Gamaredon основана на общих IP-адресах, соглашениях об именовании доменов и использовании динамических DNS-провайдеров, что соответствует деятельности группы. По данным Lookout Threat Lab, это первые семейства мобильных вредоносных программ, которые были публично приписаны Gamaredon.

Вредоносные программы, вероятно, распространяются с помощью целевой социальной инженерии, причем BoneSpy развивается и использует троянизированные приложения Telegram в качестве приманки, что указывает на возможную нацеленность на предприятия. Развертывание PlainGnome включает в себя минимальный первый этап, на котором распространяется вредоносный APK, а затем второй этап, на котором осуществляется слежка.

Командная и контрольная инфраструктура для обеих систем использует сервис No-IP Dynamic DNS и связана с российским провайдером Global Internet Solutions LLC.

Indicators of Compromise

Domains

  • fiordmoss.ddns.net
  • goos.pw
  • llkeyvost.ddns.net
  • ltkwark.ddns.net
  • ollymap.pw
  • weeklyoptional.ddns.net
  • winterknowing.ddns.net
  • wleak.pw

SHA256

  • 114d2a25bb4c296f8ef5bfca4e8192b5aca9b169099ac6291139e68cfc7e37dc
  • 255996e1aa2a7514b167d9c940d7c8ff3c34393e97e43bda319eb92ea626c4eb
  • 278c9819583ce64913882d425c1d7634307b290709e0143e9268f8f999dacfba
  • 2c7827f92a103db1b299f334043fbdc73805bbee11f4bfac195f672ba0464d22
  • 2ef72c67cf76e8162f5e4bf0a743ac4ed756e153593c430cedf2043a310b24e8
  • 30429e95b9318816709e23488c77e364a294b6f5f7e3ee414a6a2bef74620ca6
  • 39cb17cb03a794e69eb4f0694e90e41a8cfb8480b82da82fcbd4a88dfe49930d
  • 3a4fa698536111f377030a5d794851d2e23b18d67e6d440ce883b9906d65037d
  • 3b5794ca6051740fff6e1b449db06f169df2749f81aaf4c329e18b12afb9a5c7
  • 46b10de13887c36d61517125bec87c4557f325114221291a3ac7142cbc15de29
  • 533ff7ba5eb5329cb860486a952259a4dfc0d74654831eb08dbcadc1ae5ca333
  • 551b8917f57c5cf8cd0a34c1d500db1dd4aed8ec8f31d28a5fabc4720e5b89a3
  • 5b7b5a2995c102121695225797f12f0b860500150472126b3b465b51ccad07bd
  • 629ca39d2c90ff8b343ba1f4cfae11bbc2f61ca6bae80bd093f22efbcf4e4770
  • 633875ce353391ea8bd4c92d8f3f57a525ff0abf9eba8d78528de616b1ee7118
  • 6bfdc285dee8ae3e3dade52a34f5d178163e4a08904b651ff5c906e78ddccec0
  • 7a8ec25f3d4a5c6b4fbdb1002ce22ff0352ce65c0f4ddc9567458e8fcb964845
  • 7de055018723b612dfa66a90c83a69afce7db918fb7fa88619833557c4fc61c3
  • 8407fed605805f0e7ef9628767d0aff1014e7231549b09f3c0d0cb723f07c48a
  • 86e51f1cc8213e173e47080ab45577e922e624006954de73ebae531589c912f4
  • 8af63d7aa2142701116207f61e3e01c9e0239731e5bbbdf79114889b56ca46ea
  • 9dd73c9caa547358b6fe5acddf59443d7bf0ffc5b92867e9b67edd5bb2a9f786
  • a3b0c178ab5e6e4b3442d358a78df7409461fa48f6ca8e63b730b0a455a89b18
  • acede5fa46e09803adf9de5e731ca690dc7b02b69a63bacd4836429d289ec4f0
  • bd65dbd61f27a90c0770d5f8cc02cfa7d9552f0fb300868611d69972b42d3f1c
  • bed2cf8758d86daaf25475cc6ed1c71fd3f9a922247c42fe246f8542c76d8c15
  • c82f0a1546bf7025993f2e7da33d1a741d91c78b01268a2d44afa31e66eb2fe8
  • cb648ba5cce810e5ba17b89ca2c346bd3f0ad612834c225ec7b55871c4acc085
  • ce6e5838f3ada452b64ffc6261e9bf74479bd31e83f77c7409c89564846db6a3
  • de3a0b30b8976da933fe6bf88e6e7ab2386a967ada2599ef1dc1b12100a37694
  • dfaa47ed20021c4f84bf68820a618f9e8a2e077d36b6d7281e8724b2124c7825
  • e0c5656ca9877b37e92f5208caf9c65365e9d35ea6eb351915eb3efee235db31
  • eadd9c3e3f7a1c5e008ca157cb850aa72d283f702da2ab4daf0e4af4d926ab3e
  • f0acf9558b7a4fcdaa119731ad5fb5bbdf5a704c9be9e929735a4679735989db
  • f948b650bdc63cf9b1781d651974a9c54d2b2981d3bf4b882f48c3a406272470
  • fd5fa718a7411b18845b76d7007db6b4431b1a2ce2f8b2cc047c0fff7c46161f
Avatar for Gnostis
Gnostis
SEC-1275-1
Добавить комментарий