Google Threat Intelligence (GTIG) обнаружила новое вредоносное ПО под названием LOSTKEYS, связывая его с группой COLDRIVER, признаваемой за фишинг учетных данных у высокопоставленных лиц и неправительственных организаций.
Описание
LOSTKEYS крадет файлы и отправлять системную информацию злоумышленнику. COLDRIVER атакует через личные адреса электронной почты, крадет учетные данные, пересылает электронные письма и пытается получить доступ к файлам системы. Группа COLDRIVER нацелена на действующих и бывших советников, журналистов, аналитические центры и людей, связанных с Украиной.
Начало многоступенчатого заражения LOSTKEYS происходит с подложным CAPTCHA. Шаги цепочки заражения включают выполнение PowerShell, обход устройства путем вычисления MD5-хэша разрешения дисплея и получение конечной полезной нагрузки через генерацию PowerShell.
COLDRIVER используют социальную инженерию, такую как техника "ClickFix" с PowerShell, для заражения целей. Последующие этапы цепочки заражения LOSTKEYS включают декодирование блоба в Base64 и получение VBS-файла, именуемого LOSTKEYS, который является частью вредоносной программы.
Индикаторы компрометации
