Кибершпионская группа Core Werewolf с августа 2021 года атакует военные организации в Беларуси и России, ориентируясь на предприятия оборонно-промышленного комплекса и объекты критической информационной инфраструктуры. Используя программное обеспечение UltraVNC и MeshCentral, группа проводит свои кампании путем рассылки вредоносных писем с защищенными паролем архивами, содержащими вредоносные исполняемые файлы, замаскированные под легитимные документы.
Описание
В одном из недавних инцидентов в арсенале Core Werewolf было обнаружено письмо от al.gursckj@mail[.]ru с вложением под названием «Lists_on_nagr.7z». Вложение при открытии инициирует серию вредоносных действий через дроппер, отображающий обманчивый PDF-файл и выполняющий CMD-скрипты, запускающие дальнейшие вредоносные действия. Сюда входит настройка конфигурационного файла UltraVNC, завершение процессов и установление соединения с командно-контрольным сервером.
Еще один вредоносный исполняемый файл, undoubtedly.exe, приписываемый Core Werewolf, был обнаружен для российских военных организаций. Этот файл, загруженный на сервис VirusTotal, извлекал PDF-документ, содержащий информацию военного характера, и выполнял скрипты для установления соединения с другим командно-контрольным сервером. В предыдущих инцидентах группа использовала файлы-обманки, например списки наград, для маскировки своих атак.
Методы группы Core Werewolf включают в себя извлечение и выполнение вредоносной полезной нагрузки с помощью сложных скриптов, что позволяет получить удаленный доступ к взломанным системам и вывести конфиденциальные данные. Деятельность группы представляет серьезную угрозу безопасности и целостности военных организаций в регионе, что подчеркивает важность надежных мер кибербезопасности для защиты от подобных целенаправленных кибератак. Использование сложных инструментов и тактик подчеркивает эволюционирующий характер киберугроз и необходимость постоянной бдительности для защиты критической инфраструктуры и конфиденциальной информации.
Индикаторы компрометации
