DarkGaboon APT IOCs

По меньшей мере с мая 2023 года ранее не идентифицированная APT-группа под названием DarkGaboon атакует российские организации, уделяя особое внимание их финансовым отделам. Эта группа использует Revenge RAT и шаблоны документов, полученные с легальных российских финансовых ресурсов. Чтобы казаться более подлинным, DarkGaboon подписывает свой вредоносный код поддельными сертификатами X.509, которые утверждают, что они выданы российскими компаниями.

Описание

Уникальность DarkGaboon заключается в использовании омоглифов в названиях своих вредоносных образцов. Кроме того, группа демонстрирует глубокое понимание названий и лексики русских документов. Эти знания позволяют DarkGaboon создавать убедительные и целенаправленные атаки.

В октябре 2024 года Центр экспертной безопасности Positive Technologies (ЦЭБ PT) обнаружил атаку DarkGaboon на один из российских банков. Атака заключалась в отправке электронного письма на корпоративный адрес регионального филиала банка. Письмо имело тему «Сверка взаиморасчетов» и содержало сообщение на русском языке, затрагивающее вопросы бухгалтерского учета. Письмо также содержало архивный файл-обманку под названием «Акт сверки.z». Этот архивный файл содержал чистый шаблон документа Microsoft Excel, пояснительную записку на русском языке, призывающую получателей открыть файлы, и вредоносную полезную нагрузку в виде защищенного .NET Reactor файла Revenge RAT.

Для рассылки вредоносных писем группа DarkGaboon использовала украденный адрес электронной почты, который был скомпрометирован в результате заражения компьютера владельца. После успешной рассылки нескольких образцов Revenge RAT адрес электронной почты был заблокирован оператором связи. Инфраструктура управления, использованная DarkGaboon, включала Windows-хост, расположенный за пределами России, и домены Dynamic DNS с африканскими именами «kilimanjaro.run.place» и «kilimanjaro.clouds.nz».

Дальнейший анализ атаки выявил кластер из 11 образцов Revenge RAT и 8 управляющих динамических DNS-доменов, названных в честь африканской горы Килиманджаро. В ходе расследования было установлено, что эти образцы и домены связаны с группой DarkGaboon, которая атакует российские компании как минимум с мая 2023 года. Однако ранее группа использовала другую инфраструктуру управления, включая единый домен Dynamic DNS и набор управляющих серверов, расположенных за пределами России. Эти серверы менялись в среднем раз в месяц.

В заключение следует отметить, что DarkGaboon - это сложная APT-группа, которая действует уже более полутора лет, атакуя финансовые отделы российских организаций. Группа использует различные тактики, такие как использование легальных российских финансовых ресурсов, подписание своего вредоносного кода поддельными сертификатами и использование омоглифов в названиях образцов. Способность DarkGaboon имитировать названия и лексику российских документов свидетельствует о глубоком понимании целевой среды.