CERT-UA получена информация о распространении 05.07.2022 электронных писем по теме "Спеціалізованої прокуратури увійськовій та оборонній сфері. Інформація щодо наявності вакансій та їх укомплектування" и вложении в виде XLS-документа "Інформація щодо наявності вакансій та їх укомплектування.xls".
Описание
Документ содержит макрос, активация которого приведет к созданию на компьютере и запуску файла "write.exe". Указанный файл выполняет роль дропера, обеспечивая создание на диске файла "%PROGRAMDATA%\TRYxaEbX", его дешифрование (RC4) и последующий запуск PowerShell-скрипта. Кроме того, EXE-файл также обеспечивает собственную персистентность, создавая ключ "Check License" в ветке "Run" реестра Windows. Полученный PowerShell-скрипт кроме обхода AMSI и отключение логирования событий для PowerShell обеспечит декодирование и декомпрессию данных в следующий PowerShell-скрипт, который, в свою очередь, обеспечит выполнение вредоносной программы Cobalt Strike Beacon.
Cobalt Strike Beacon IOC
Indicators of Compromise
