Группа APT36, также известная как Transparent Tribe, продолжает активно атаковать индийские оборонные структуры, используя изощренные фишинговые кампании. Согласно данным CYFIRMA, злоумышленники рассылают письма с вредоносными PDF-вложениями, которые имитируют официальные документы правительства Индии.
Описание
При открытии такого PDF-файла жертва видит размытый фон и кнопку, стилизованную под интерфейс входа в систему Национального центра информатики (NIC). Нажатие на нее перенаправляет пользователя на поддельный сайт и запускает загрузку ZIP-архива, содержащего исполняемый файл, замаскированный под легитимное приложение.
Эта кампания демонстрирует, что APT36 продолжает фокусироваться на краже учетных данных, стремясь получить долгосрочный доступ к защищенным сетям индийских военных. Эксперты подчеркивают необходимость усиления защиты электронной почты, повышения осведомленности пользователей и внедрения систем мониторинга угроз.
Как работает атака
Злоумышленники рассылают письма с вложением «PO-003443125.pdf». При открытии файла пользователь видит сообщение о том, что документ защищен, и предлагается нажать кнопку «Click to View Document». Взаимодействие с ней приводит к перенаправлению на вредоносный URL, откуда скачивается архив «PO-003443125.pdf.7z». Внутри находится исполняемый файл «PO-003443125.pdf.exe», который маскируется под PDF, но на самом деле является вредоносной программой.
Домен superprimeservices[.]com, используемый в атаке, был зарегистрирован в октябре 2024 года и размещен на серверах Cloudflare в Бразилии. Это типичная тактика злоумышленников - использовать временные домены и инфраструктуру крупных хостинг-провайдеров для усложнения отслеживания.
Технический анализ вредоносного ПО
Файл «PO-003443125.pdf.exe» использует несколько методов для противодействия анализу и маскировки своей деятельности:
- Антиотладка и антианали: Программа проверяет, запущена ли она в отладочной среде (с помощью функции IsDebuggerPresent), и завершает работу при обнаружении анализа. Также применяется метод IsWow64Process для выявления виртуальных машин и песочниц.
- Скрытая загрузка скриптов: Вредонос использует встроенные ресурсы для загрузки скриптов в память, что позволяет ему обходиться без записи файлов на диск (fileless-атака). Это усложняет обнаружение традиционными антивирусными решениями.
- Кража данных: Модули вредоносного ПО перехватывают ввод с клавиатуры (GetAsyncKeyState, GetKeyState), отслеживают содержимое буфера обмена (OpenClipboard, GetClipboardData) и сканируют файловую систему в поисках ценных данных.
- Сетевая активность: Программа устанавливает соединения с подозрительными доменами через зашифрованные каналы (HTTPS), используя инфраструктуру Cloudflare и AWS для сокрытия реальных C2-серверов.
Рекомендации по защите
Чтобы минимизировать риски от подобных атак, организациям следует:
- Обучать сотрудников распознаванию фишинговых писем и подозрительных вложений.
- Внедрять многофакторную аутентификацию для критически важных систем.
- Использовать расширенные системы мониторинга сетевой активности для выявления аномальных соединений.
- Регулярно обновлять ПО и применять патчи безопасности.
APT36 остается серьезной угрозой для индийских оборонных структур, и их методы продолжают совершенствоваться. Комплексный подход к кибербезопасности - единственный способ эффективно противостоять таким атакам.
Индикаторы компрометации
