CERT-UA выявила продолжающуюся кампанию кибершпионажа против государственных организаций и представителей средств массовой информации Украины. Группа, обозначенная как UAC-0099, действует с середины 2022 года и продолжает свою активность в настоящее время, демонстрируя высокий уровень адаптивности и технической оснащенности.
Описание
По данным экспертов CERT-UA, злоумышленники используют фишинговые письма и сообщения в мессенджерах для распространения вредоносных файлов различных форматов, включая HTA, EXE, RAR и LNK. Запуск этих файлов приводит к заражению компьютеров вредоносной программой LONEPAGE, представляющей собой PowerShell-сценарий, часто замаскированный под JavaScript или VBScript файл.
После проникновения в систему LONEPAGE загружает с управляющего сервера текстовый файл upgrade.txt, содержащий PowerShell-команды. Эти команды выполняются на зараженном компьютере, а результаты передаются обратно на сервер злоумышленников через HTTP POST запросы. Такой подход позволяет хакерам гибко управлять своими вредоносными кампаниями и адаптироваться к конкретным условиям целевых систем.
Особую озабоченность экспертов вызывает способность вредоносной программы загружать на пораженные компьютеры дополнительные инструменты. Среди них - THUMBCHOP, предназначенный для кражи данных из браузеров Chrome и Opera, и CLOFGFLAG, функционирующий как кейлогер для перехвата вводимой с клавиатуры информации. Кроме того, злоумышленники устанавливают инструменты TOR и SSH, которые позволяют создавать скрытые сервисы и устанавливать обратные соединения, обеспечивая таким образом возможность интерактивного несанкционированного удаленного доступа.
В ходе расследования инцидентов CERT-UA также обнаружил образцы вредоносных программ, разработанных на языке програмгування Go - SEAGLOW и OVERJAM. Использование этого современного языка программирования свидетельствует о технической продвинутости группировки и ее способности создавать сложные и многофункциональные инструменты для кибершпионажа.
Эксперты отмечают, что UAC-0099 демонстрирует тактику горизонтального перемещения внутри корпоративных сетей. После первоначального проникновения злоумышленники сканируют локальную сеть, компрометируют компьютеры привилегированных пользователей и получают доступ к корпоративным информационным системам. Этот метод позволяет им расширять свое присутствие в сети и получать доступ к ценным данным.
По оценкам CERT-UA, в период с 2022 по 2023 год группировке удалось получить несанкционированный удаленный доступ к нескольким десяткам компьютеров в Украине. Хотя точное количество жертв не раскрывается, масштабы деятельности UAC-0099 вызывают серьезную озабоченность у украинских властей и специалистов по кибербезопасности.
Деятельность UAC-0099 продолжает оставаться в фокусе внимания украинских спецслужб и международных экспертов по кибербезопасности. Расследование ongoing, и CERT-UA призывает организации быть особенно бдительными при работе с электронной почтой и сообщениями в мессенджерах от неизвестных отправителей.
Индикаторы компрометации
