Gamaredon использует вредоносные LNK-файлы для распространения бэкдора Remcos в рамках своей кампании, нацеленной на пользователей в Украине. Эта кампания началась в ноябре 2024 года и до сих пор активна.
Описание
Вредоносные LNK-файлы маскируются под документы Office и содержат русские слова, связанные с передвижением вооруженных сил в Украине. Загрузчик PowerShell, запускаемый из этих файлов, загружает второй этап - Zip-файл, который содержит бэкдор Remcos. После этого происходит боковая загрузка DLL для выполнения полезной нагрузки Remcos. Cisco Talos считает, что кампания Gamaredon связана с этой активностью средней степени уверенности.
Gamaredon продолжает использовать тему вторжения в Украину в своих фишинговых кампаниях. Распространение LNK-файлов происходит через фишинговые письма, в которых прикреплены ZIP-файлы или есть URL-ссылки для загрузки с удаленных серверов. Имена файлов, используемые в кампании, намекают на военную тематику и содержат имена российских или украинских агентов, а также имена, связанные с передвижением войск.
LNK-файлы, используемые Gamaredon, содержат PowerShell-код для загрузки и выполнения полезной нагрузки, а также обманчивые документы, которые отображаются после заражения, чтобы скрыть компрометацию. Код PowerShell использует команду Get-Command для косвенного выполнения функций загрузки и выполнения полезной нагрузки, вероятно, с целью обойти антивирусные решения. Серверы, используемые в этой кампании, находятся в Германии и России, и на данный момент они возвращают ошибку доступа при попытке загрузки файлов полезной нагрузки.
В сетевой инфраструктуре связанной с этой кампанией преобладает использование двух интернет-провайдеров: GTHost и HyperHosting. В частности, серверы, обладающие IP-адресами 146.185.233.96, 146.185.233.101, 146.185.239.45 принадлежат GTHost, а серверы с IP-адресами 80.66.79.91, 80.66.79.195, 81.19.131.95, 80.66.79.159, 80.66.79.200, 80.66.79.155 принадлежат HyperHosting.
В целом, кампания Gamaredon продолжает использовать вредоносные LNK-файлы и фишинговые методы, связанные с военной тематикой, для распространения бэкдора Remcos на пользователей в Украине. Серверы, используемые в кампании, находятся в России и Германии, и ограничивают доступ к файлам полезной нагрузки только для жертв из Украины.
Indicators of Compromise
