GLUEEGG / DROPCLUE / ATERA Malware IOCs

CERT-UA получена информация о распространении среди украинских оборонных предприятий электронных писем с тематикой закупки БпЛА и вложением в виде ZIP-файла, содержащего PDF-документ со ссылкой.

В случае перехода по ссылке на ЭВМ жертвы будет загружен файл «adobe_acrobat_fonts_pack.exe», который классифицирован как вредоносная программа GLUEEGG, разработанная с использованием языка программирования Go. Основным назначением GLUEEGG является дешифровка (XOR со 128-байтным ключом) и запуск загрузчика DROPCLUE, разработанного с использованием языка программирования Lua.

Последний обеспечит загрузку и открытие на ЭВМ документа-приманки «UA-2024-07-04-010019-a-open.pdf», а также EXE-файла «font-pack-pdf-windows-64-bit», что обеспечит запуск BAT-файла, который, в свою очередь, с помощью штатной утилиты «curl.exe» осуществит загрузку и установку MSI-файла легитимной программы для удаленного управления ЭВМ ATERA.

Содержание

Indicators of Compromise
Domains
URLs
Emails
MD5
SHA256

Indicators of Compromise

Domains

prozorro-ua.net

URLs

https://prozorro-ua.net/tender/ua-2024-06-25-006884-a/print/limited-reporting/adobe_acrobat_fonts_pack.exe
https://prozorro-ua.net/tender/ua-2024-06-25-006884-a/print/limited-reporting/ua-2024-07-04-010017/font-pack-pdf-windows-64-bit
https://prozorro-ua.net/tender/ua-2024-06-25-006894-a/print/limited-reporting/ua-2024-07-04-010019-a-open.pdf