RomCom RAT теперь нацелен на украинские военные учреждения. Известно, что этот же агент угроз развертывал поддельные версии популярного программного обеспечения Advanced IP Scanner. После разоблачения RomCom RAT переключился на PDF Filler, другое популярное приложение, что указывает на то, что стоящая за ним группа активно развивает новые возможности.
Ранние версии RomCom RAT распространялись через поддельные веб-сайты, подменяющие легитимный веб-сайт приложения "Advanced IP Scanner". 20 октября угрожающий агент развернул новую кампанию, подменив сайт "pdfFiller", и распространил троянскую версию с RomCom RAT в качестве конечной полезной нагрузки. 21 октября угрожающий агент, создавший RomCom RAT, нацелился на военные учреждения Украины. Начальным вектором заражения является электронное письмо со встроенной ссылкой, ведущей на поддельный веб-сайт, сбрасывающий загрузчик следующего этапа.
Помимо последней кампании против военных учреждений Украины, угроза RomCom нацелена на IT-компании, продуктовых брокеров и производство продуктов питания в США, Бразилии и на Филиппинах.
Как дропперы RomCom RAT, так и финальная версия RAT написаны на русском языке.
Indicators of Compromise
Domains
- 4qzm.com
- CombinedResidency.org
- notfiled.com
- optasko.com
SHA256
- 05681ff7cae6b28f5714628a269caa5115da49c94737ce82ec09b4312e40fd26
- 068117b406940ac510ed59efd1d7c7651f645a31bd70db6de16aba12c055aae6
- 3e3a7116eeadf99963077dc87680952cca87ff4fe60a552041a2def6b45cbeea
- 494b43198db467f506e9857f39ebe8f8bf6d871776eba092a7e2f2140046e16d
- 4fc9202ff84ef84b8c5e6140b66ac3d04570daf886a7f1ae31661ade882f963e
- 56a6fb2e2b6a801351175f2aa30a63d44e9ba69f177f6fe20dad348b4d6fb0d1
- 59f0c3b7890f11217ad37764f225cd1c9d27747495d80dadde40b78edfbfa21e
- 61e349518ca3f10d1e7aae0be95bc43dc23843c8acf177831cdfd48f26a07c72
- 80d78703de91d292c031275b4493966e363f5fa065edd79e0fd63aa2573b44a4
- 983833334d168cd4274467f48171489e019b86b51e687738565a93dd3f58d0aa
- 9f61259c966f34d89b70af92b430ae40dd5f1314ee6640d16e0b7b0f4f385738
- a2511c5c2839bfbdf9c0f84f415d5eae168456e5d3f77f1becdbcd69fba4daa4
- c116a0aafdc2765e38b4f5efdf89960997abf0db81daa8f5380ce3c893e9af96
- e80d80521238008bf6f429e072eaf6030c06e2d3123d03ea9b36f5a232a1ec90