Группа Shuckworm, продолжает свои атаки на правительственные и оборонные организации Украины. В новой кампании, начавшейся в 2025 году, они нацелились на военную миссию западной страны, расположенную на востоке Европы. Атаки Shuckworm ранее были направлены на правоохранительные и оборонные структуры Украины.
Описание
Одним из аспектов новой кампании Shuckworm является использование обновленной версии их вредоносной программы GammaSteel, которая является похитителем информации, выкачивающим данные из сетей жертв. Атакующие используют веб-службу write.as для возможной утечки данных. Они также используют инструмент командной строки cURL в сочетании с Tor для резервного метода эскфильтрации данных. Эта кампания также демонстрирует переход Shuckworm от использования VBS-скриптов к инструментам на базе PowerShell, что упрощает обфускацию и хранение скриптов в реестре.
Первое заражение в рамках этой кампании произошло в феврале 2025 года с использованием зараженного съемного диска. После этого были выполнены несколько команд, включая запуск процесса mshta.exe, который выполнял дальнейшие команды, такие как запуск скрипта в реестре и запуск HTA-файла. Один из файлов реестра был использован для связи с командно-контрольным сервером и поддержания контакта с ним, а другой файл содержал адреса C&C-серверов, используемых атакующими.
Исследователи также выявили несколько адресов C&C-серверов, используемых Shuckworm, включая hxxps://des-cinema-democrat-san.trycloudflare[.]com/server, который использует туннелизацию через Cloudflare.
Индикаторы компрометации
