Seqrite Labs APT-Team обнаружила новую кампанию, получившую название Swan Vector, которая нацелена на образовательные учреждения и предприятия машиностроительной отрасли в Тайване и Японии. Злоумышленники используют фишинговые письма с вложениями, маскирующимися под документы о финансовых проблемах и резюме соискателей.
Описание
Кампания состоит из четырех этапов. Первый этап - вредоносный LNK-файл, который запускает DLL-имплант Pterois через утилиту rundll32.exe. Этот имплант использует API-хеширование для сокрытия своих действий и загружает следующие этапы атаки, включая легитимный исполняемый файл Windows, который затем выполняет второй имплант Isurus через технику DLL-Sideloading. Финальный этап - загрузка и выполнение шеллкода Cobalt Strike, обеспечивающего злоумышленникам удаленный доступ к системе.
Одним из ключевых элементов атаки является использование Google Drive в качестве командного сервера. Имплант Pterois получает OAuth-токен для авторизации в Google Drive, после чего загружает дополнительные вредоносные файлы, включая фишинговый документ-приманку в формате PDF. Этот документ содержит шаблон резюме на японском языке, что указывает на ориентацию атаки на японские организации.
После выполнения своих задач имплант Pterois самоуничтожается, удаляя следы своего присутствия в системе. Второй имплант, Isurus, использует технику загрузки шеллкода в память с последующим его выполнением через системные вызовы, минуя стандартные API Windows.
Финальный этап атаки - развертывание бекдора Cobalt Strike, который обеспечивает злоумышленникам полный контроль над зараженной системой. Инфраструктура командного сервера включает IP-адреса и домены, замаскированные под легитимные библиотеки JavaScript.
Анализ указывает на высокий уровень профессионализма атакующих, использующих сложные методы обфускации и антианализа. Seqrite Labs рекомендует организациям в Японии и Тайване усилить мониторинг подозрительной активности, особенно связанной с Google Drive и нестандартными методами выполнения кода.
Индикаторы компрометации
