Исследователи из Trend Research обнаружили российского хакера с псевдонимом Water Gamayun, который эксплуатировал уязвимость нулевого дня в Microsoft Management Console (MMC) для внедрения вредоносного кода и кражи конфиденциальных данных с зараженных систем.
Описание
Кампания, известная как MSC EvilTwin (CVE-2025-26633), манипулирует файлами .msc и использует мультиязычный пользовательский интерфейс (MUIPath) для выполнения вредоносной полезной нагрузки. Эта уязвимость может причинить серьезный ущерб предприятиям, особенно тем, которые активно используют административные инструменты Microsoft.
Майкрософт в сотрудничестве с Trend Zero Day Initiative (ZDI) bug bounty program обнаружили и исправили уязвимость, и выпустили обновление, чтобы защитить пользователя от данной угрозы.
Water Gamayun, известный также как EncryptHub и Larva-208, использует несколько методов доставки и пользовательские полезные нагрузки, которые помогают ему сохранять устойчивость и красть конфиденциальные данные с зараженных систем. В его арсенале есть модули, такие как бэкдоры, загрузчики и вредоносные программы, которые он использует в своей кампании.
Microsoft Management Console (MMC) - это приложение, предоставляющее графический интерфейс пользователя (GUI) для управления административными инструментами Windows. Файлы консоли Microsoft (.msc) содержат ссылки на оснастки, которые представляют собой COM-объекты, связанные с файлами консоли MMC. Water Gamayun использует эту функциональность для выполнения вредоносной полезной нагрузки через .msc файлы.
MSC EvilTwin (CVE-2025-26633) является одной из используемых техник Water Gamayun. При атаке этой техникой, троянский загрузчик создает два .msc файла с одинаковыми именами. Один файл является легитимным, а второй - вредоносной версией. Когда запускается легитимный .msc файл, вредоносная версия загружается и выполняется вместо него. Таким образом, злоумышленники использовали функцию мультиязычного пользовательского интерфейса (MUIPath) в mmc.exe для внедрения вредоносной полезной нагрузки. Все это свидетельствует о продвинутости и опасности данной кампании.
Indicators of Compromise
