Группа кибершпионажа UAC-0226 радикально модернизировала вредоносное ПО GIFTEDCROOK, превратив его из простого похитителя браузерных данных в мощную платформу для эксфильтрации конфиденциальных документов. Как установили эксперты Arctic Wolf Labs, эволюция инструмента совпала с ключевыми геополитическими событиями – переговорами по Украине в Стамбуле в июне 2025 года, что указывает на целенаправленный сбор разведданных в украинских государственных и военных структурах.
Описание
Первоначальная версия v1, обнаруженная CERT-UA в апреле 2025 года, фокусировалась исключительно на краже кэша браузеров. Однако уже к маю злоумышленники развернули v1.2 с принципиально новыми возможностями: поиск файлов по расширениям (.doc, .xlsx, .ovpn и др.), XOR-шифрование данных и автоматическое удаление следов после операции. Кульминацией стала v1.3 в июне, которая комбинирует кражу документов и браузерных секретов (логины, cookies Chrome, Edge, Firefox) с расширенным периодом сбора - теперь вредонос ищет файлы, измененные за последние 45 дней.
Фишинг остается ключевым вектором атак. Злоумышленники рассылают письма, маскирующиеся под официальные уведомления о военной мобилизации или административных штрафах, со вложенными PDF-документами. Те, в свою очередь, содержат ссылки на облачное хранилище Mega.nz, где размещены Excel-файлы с макросами. Жертвам предлагается включить макросы под предлогом «корректного отображения данных» - на деле это запускает цепочку заражения: из документа извлекается исполняемый файл, который сохраняется в %ProgramData%\Infomaster\ и начинает сканирование системы. Особую изощренность демонстрирует анализ заголовков писем: атакующие указывают фальшивых получателей в Бахмуте (Донецкая область), маскируя реальные цели - украинские госучреждения. Более того, инфраструктура для рассылки пересекается с кампаниями по распространению NetSupport RAT, что свидетельствует о скоординированных действиях нескольких групп угроз.
Эксфильтрация данных организована через Telegram-ботов. Собранные файлы сортируются по папкам, архивируются, шифруются (например, ключом "BPURYGBLPEWJIJJ" в v1.2) и отправляются на заранее созданные каналы. Для обхода ограничений на размер архивов (>20 МБ) в v1.3 внедрено разделение на части с последовательной нумерацией. При этом метаданные файлов сохраняются в теле сообщения, что упрощает их восстановление злоумышленниками. Завершающий этап – самоуничтожение вредоноса с помощью скрипта Infomaster_delete.bat, который циклично удаляет следы присутствия в системе.
Стратегическое значение атак подчеркивается их синхронизацией с политическими процессами. Развертывание v1.2 началось в преддверии стамбульских переговоров 2 июня по обмену пленными, а v1.3 активизировалась в период обсуждения административных штрафов для военнообязанных. Тематика фальшивых документов эксплуатирует реальные проблемы Украины: нехватку личного состава, судебные решения по мобилизации и продление военного положения. Анализ расширений целевых файлов (включая редкие .bwet) указывает, что злоумышленники обладают детальными знаниями о специфике инфраструктуры жертв.
Превращение GIFTEDCROOK из инструментальной утилиты в платформу для стратегического шпионажа демонстрирует новую фазу киберконфликтов – когда вредоносы адаптируются не только под технические среды, но и под геополитическую конъюнктуру. Учитывая сохраняющуюся напряженность вокруг Украины, ожидаемо дальнейшее развитие подобных программ с усилением функций скрытности и таргетирования.
Индикаторы компрометации
