Эксперты Kaspersky ICS CERT раскрыли детали атак хактивистской группы Киберпартизаны, которая с 2020 года активно атакует промышленные предприятия и государственные учреждения России и Беларуси. В ходе исследования был обнаружен ранее неизвестный бэкдор Vasilek, который вместо классического командного сервера использует Telegram для управления зараженными системами.
Описание
Группа применяет сложные методы обфускации и шифрования, чтобы скрыть свою активность. Одним из ключевых инструментов стал бэкдор Vasilek, который позволяет злоумышленникам выполнять команды, красть данные, делать скриншоты и даже записывать нажатия клавиш через Telegram-бот. Для активации вредоносного ПО используется техника имперсонализации токенов, что позволяет запускать его с правами администратора.
Еще одной находкой стал вайпер Pryanik, который действует как логическая бомба - активируется в строго определенное время, например, 17 апреля 2024 года в 01:01 UTC. Он использует уязвимый драйвер Zemana Anti-Malware (CVE-2021-31728) для получения прав ядра и последующего уничтожения данных на дисках.
Для первоначального заражения злоумышленники применяют фишинговые письма, маскируя вредоносный код под легитимный VPN-клиент FortiClient. После проникновения в сеть они используют утилиты вроде DNSCat2 для обхода сетевой изоляции и Metasploit Framework для продвижения по инфраструктуре жертвы.
Анализ инфраструктуры атак выявил связь группы с украинской ИТ-армией: один из операторов ботов Vasilek состоит в соответствующих Telegram-чатах. Это подтверждает заявления Киберпартизан о сотрудничестве с украинскими хакерами.
Эксперты Kaspersky рекомендуют организациям усилить защиту от фишинга, мониторить аномальную активность в DNS-трафике и регулярно обновлять системы для защиты от уязвимостей, используемых злоумышленниками.
Индикаторы компрометации
IPv4
- 103.219.153.203
Domains
- c.0ce.org
- f.91j.org
- gov-by.com
- in.vmware.org.mx
- ns.p-society.org
- p.7cp.org
- w.3a01.net
MD5
- 0216931a3ed18710fd0cc247e9b98454
- 021c89550f2cc0067891693c0b2301e6
- 0368ccd16376517659b6ba0a63a33086
- 043a1ae4cb4fd6b2e46d70091fdfda80
- 05c17f58b31dbeb2c15d44d1a460a3e0
- 0633ed1e19ad9e1c6212c1f326e03d73
- 0ab6d6546094d93817e45390f77b840a
- 1192d60f12ac800deb3bb94a326e2efc
- 13f9be1c7501154e82626d883219b0f1
- 1606ff3ca7201b1edd99a4885ad74479
- 18769f7d5ae7182135873ea29b586608
- 1f024f1bcf190dab60fae70f0760f92c
- 21a558d7fc3934055302b8a0da78f830
- 28408044f467fd6033e8e9272cf4ad0c
- 2ba3ce248489f54233fe66d232b8b399
- 2ffd44af4277e78c0dccf0deb722fa71
- 3559069687b0f9982f29dced5fed40b6
- 39e2604706eb137ff70619e21511f602
- 3b627d73ede057ba29e3707736382fd7
- 457e261456ba5ac6be9ef9ed4f46518e
- 45da308f63b3675e8d0eb4d440d54319
- 46d785cd365e0b1514d156ab6ebc8c20
- 4a5eb4bcd4ca4e024dcb608d5e0c2ddd
- 5047c19c15df7a356e76959f7921d09a
- 513af4462f64719bd7861a2daff8e15d
- 56090eeef953847d3e4d59729242ec24
- 5b88416749cdfe192393144efae82492
- 5ca2662b8de5cc7d56a8e425ef59fbdd
- 5e29f706db2ff0bfa9be481960d52b0c
- 5f0e6a992521661aa30f627981c89cfd
- 60290ea2d6149ba5678a8f1fb7abd1e1
- 6470c04186bd618d612ff765b4234c61
- 6ada80a78d15c39b6511d435389a0c32
- 6cb10d35e6884089cb192e3ab09bf921
- 718df1e53b6b208ac46cf135251661df
- 749b194b2746479157048e08f36c0b05
- 74d7fd33236d1024adad272c27fa4a04
- 7524640b6c66411c9f7a4494fa9aca1c
- 7c730289b150582d65622fee14daf1de
- 7ee9a254ac0f571c6889793af4cfcd3b
- 89ed6d4ef883a6b6c095cbb2ccfd774e
- 8ce8df9ca659d0678f0236cb13fe8505
- 916b54455ccb7673fb28469b08b3340b
- 952fc71a3b89bb6e6bb191a66eb4ca12
- 99634f5a23db7af8827affd095c5e0c0
- 9a102379c85547c543ca4b4a8fab99ec
- 9b5e70fa77ffdc845ac96eae7f013bb0
- 9bbbc01ee96d575dcfc2137fd319a379
- 9f61eabee7fede49beeb7da793fe4025
- a0d7545dcd71267d2d051a4646f91feb
- a268c3d5cac25d9c03a2960e4ec6f756
- a31f4e073c5700f3195b52caaa950971
- a402859d74bccdeb1e074d1ef837bf70
- a4120003348feda59ed2a3b278e149bd
- a5b2129462c6d78521f544a37f8ca21f
- a681fe14bc71b14a91000fa8065153bf
- a70af2db482b8bc2c442b5e55ab6f91b
- a7ee2be8288fcdae91b5e4022b95ad3a
- addbb3dea38c7f114d9b55ac473af9bd
- b3f91a4bfcd2eeb346e323b5cbef2833
- b78859eb6fd560548e1a99356d14fbb5
- bac437d80cd0c65a7937681a9bf5a5e0
- be47583211df677350e13ef82198d2d5
- bf33354d4d1edd928617b68365c2df02
- c060237a1c8d2dccefd46f99209312b9
- c19970454202aff1d5ac289b0c0752da
- c8c7128b536acfb2a1531b0cb016f1ce
- cc9e931fc7bfe857284bf2ec661399ee
- ce338924524961f9553c49b3c2d6ebde
- ce3cb372fc86a1bf8b8965f941903909
- d1a8081ff646a83666c7aa69204c17a5
- d9f7489a2cb324db909ce49548e1db79
- e596f7165f9792e9b201e00585ed3694
- e5d80bf63b2d4da0e6b1e91b4dc0e35a
- e6f319da7d9230850974e0b2fa664450
- ed03d170568479661bbe47d3b72aabb6
- eef8bb0e23f4633ca53d3ac767294b20
- f72e9453c6b9044fbe5bac9b5ee4e65f
- f82207c8ca5c44ff3f3d3341c5b01f4c
- fb966f7055bcdf8d21ce32e4dd71317c
- fce38ab03134ad9c4b63845fa456c3e2
- ff230f470b3e77cf63cb17bc7a2745bb