PhaseShifters APT IOCs

Компания Positive Technologies, специализирующаяся на кибербезопасности, обнаружила новую атаку, которую приписывают хакерской группе PhaseShifters. Эта группа известна тем, что занимается шпионскими атаками на предприятия России, Беларуси и польские правительственные организации.

PhaseShifters APT

Название PhaseShifters отражает меняющиеся методы группы, которые следуют за группой UAC-0050. В своих атаках группа использует фишинговые письма, замаскированные под официальную переписку, предлагая получателям прочитать и подписать документ. Документы представляют собой защищенные паролем архивы, содержащие VPO (проверенные объекты полезной нагрузки), такие как Rhadamanthys, DarkTrack RAT и Meta Stealer.

Positive Technologies наблюдает высокую активность PhaseShifters с весны 2023 года и замечает сходство с группой UAC-0050, обнаруженной в 2020 году. Кроме того, в недавней атаке группы используются методы, схожие с теми, что применялись группами TA558 и Blind Eagle. Атака заключается в распространении по электронной почте архива с именем «Копия труда.docx.rar». Архив, защищенный паролем, содержит исполняемый файл, который загружает несколько файлов, включая один с провокационным названием, связанным с президентом России Путиным, и поддельный документ с изображениями белорусского паспорта.

В ходе атаки выполняются сценарии PowerShell, которые извлекают загрузчик VPO и конечную полезную нагрузку из репозиториев BitBucket. Репозитории, использованные в атаке, принадлежат разным пользователям - одному под ником Nano и другому под ником siniy34240. Репозиторий Nano в настоящее время неактивен, в то время как репозиторий siniy34240 все еще работает. Изображения в хранилищах включают в себя фотографию пустыни Атакама в Чили. Стоит отметить, что несколько групп по всему миру могут использовать один и тот же репозиторий. Репозитории BitBucket были связаны с атаками в России и Украине, что заставляет задуматься о сходстве между PhaseShifters и другой группой, обнаруженной в 2020 году.