Группа хакеров, известная под обозначением UAC-0057, продолжает целенаправленные атаки на организации в Украине и Польше, используя усовершенствованные методы доставки вредоносного ПО и скрытного контроля. По данным экспертов по кибербезопасности, активность группировки значительно возросла в период с апреля по июль 2025 года.
Описание
Атаки начинаются с фишинговых писем, содержащих архивы с вредоносными XLS-файлами. Эти документы используют макросы, замаскированные под легитимные данные, такие как списки контрактов или правительственные инструкции. Для украинских целей злоумышленники применяли документы, тематически связанные с Министерством цифровой трансформации Украины, в то время как для польских целей использовались приглашения на собрания сельских муниципалитетов.
После запуска макроса происходит сложная цепочка действий: на систему жертвы загружается DLL-библиотека, которая затем активируется через стандартные системные утилиты, такие как regsvr32.exe или rundll32.exe. Этот подход позволяет злоумышленникам обходить базовые средства защиты. Для сокрытия кода активно используются инструменты MacroPack и ConfuserEx, что затрудняет анализ и обнаружение угроз.
Вредоносные библиотеки, написанные на C# и C++, выполняют сбор информации о системе: данные об операционной системе, имени хоста, учетной записи пользователя, установленном антивирусном ПО и внешнем IP-адресе. Собранные данные отправляются на управляющие серверы, замаскированные под легитимные ресурсы, например, под сайты с шутками или рукоделием. Для связи также применяется Slack, где создаются специальные рабочие пространства с бесплатными аккаунтами.
Инфраструктура группы тщательно продумана: домены регистрируются через PublicDomainRegistry с использованием почтовых сервисов Proton, а для маскировки трафика применяются серверы Cloudflare. URL-адреса серверов управления копируют пути легальных сайтов, что усложняет их идентификацию системами защиты.
Целями атак становятся государственные и военные учреждения Украины, а также польские организации, связанные с местным самоуправлением. По мнению аналитиков, группировка сохраняет высокую дисциплину в выборе целей и продолжает адаптировать свои инструменты, чтобы избегать обнаружения.
Эксперты отмечают, что UAC-0057 демонстрирует лишь незначительные изменения в методах работы, предпочитая стабильность операций максимальной скрытности. Это указывает на то, что группа focused на долгосрочных шпионских кампаниях, а не на немедленном извлечении выгоды. Ожидается, что в ближайшем будущем атаки продолжатся, возможно, с расширением географии на другие страны Восточной Европы.
Рекомендуется усилить контроль за фишинговыми рассылками, отключить выполнение макросов в документах по умолчанию и использовать системы мониторинга, способные обнаруживать аномальную активность, связанную с загрузкой и выполнением скриптов через системные утилиты.
Индикаторы компрометации
