CERT-UA, украинская правительственная группа реагирования на компьютерные чрезвычайные ситуации, недавно обнаружила фишинговую кампанию с использованием писем с темами «рахунок» и «реквізити».
Описание
Эти письма содержат ссылки, маскирующиеся под eDisk, которые ведут на RAR-архивы, содержащие защищенные паролем документы-обманки и вредоносный VBS-скрипт под названием «Password.vbe». Скрипт ищет файлы различных типов (например, .doc, .pdf, .xlsx) в каталогах пользователя и пересылает файлы размером до 10 МБ на сервер злоумышленника с помощью HTTP PUT-запросов.
В упомянутых архивах находились два защищенных паролем документа-приманки («Договор20102024.doc», «Счет20102024.xlsx»), а также VBS-скрипт «Пароль.vbe».
Последний содержал программный код, реализовывавший функционал рекурсивного поиска файлов по определенному расширению («xls», «xlsx», «doc», «docx», «pdf», «txt», «csv», «rtf», «ods», «odt», «eml», «pst», «rar», «zip") на глубину пяти каталогов от папки %USERPROFILE% с целью дальнейшей эксфильтрации найденных файлов (размером не более 10МБ) на сервер злоумышленников с помощью метода PUT протокола HTTP.
При этом, предусмотрена работа с использованием прокси-сервера (при условии его настройки на компьютере), а значение URI каждого из HTTP запросов будет содержать полный путь к файлу, который похищается.
В процессе исследования CERT-UA обнаружен исполняемый файл (самостоятельно распаковываемый скомпилированный архив), содержащий однострочную PowerShell-команду, логика которой реализует аналогичный функционал по рекурсивному поиску в каталоге %USERPROFILE% файлов по перечню расширений ('*. xls*','*doc*','*.pdf','*.eml','*.sqlite','*.pst','*.txt') и их дальнейшей передачи на сервер управления с помощью метода POST протокола HTTP. При этом, полный путь файла также передается как значение URI.
Исходя из даты регистрации доменного имени такая активность могла осуществляться, по меньшей мере, с августа 2024 года.
Характерными признаками управляющей инфраструктуры является использование регистратора доменных имен HostZealot, а также имплементация вебсервера (приемника) с помощью Python (баннер «Python Software Foundation BaseHTTP 0.6»).
Indicators of Compromise
IPv4
- 109.205.195.233
- 194.107.92.234
- 46.149.173.221
- 94.140.114.32
- 94.140.114.76
Domains
- 01mirror.com.ua
- edisk.in.ua
- edisk.ukrnet.01mirror.com.ua
- namecheap.com
- registrar-servers.com
- staticgl.one
- swiftydns.com
- ukrnames.com
- ukrnet.01mirror.com.ua
- winupmirror.support
URLs
- https://edisk.in.ua/571df09c9c45758/Рахунок
- https://edisk.ukrnet.01mirror.com.ua/571df09c9c45758/
- https://edisk.ukrnet.01mirror.com.ua/571df09c9c45758/2024-10-10_001.rar
- https://edisk.ukrnet.01mirror.com.ua/571df09c9c45758/Рахунок
- https://staticgl.one/
- https://winupmirror.support/
MD5
- 10d486a514212bff2ef181010e8bd421
- 16e2255474930bab59d59a62caf35a5b
- 325a5308c225ed14355d5afcd12a059c
- 62febd43f2253710adaeea3a0639d26d
- 7c95cd4b9471c904db3a5afc9179b3bc
- cd03aa7bc1b1f2b64f0c6856ba312484
- d7a120fee99b0655a08f330a4542f141
- dc7e9ab6374bccf3225d95ed4595a608
SHA256
- 1679e968b0672342091b2bef5c379767bc59bf575f7ed8d9c6abbdc10fcafe01
- 3432fe8487b72860cf60b54169f071e26336c56ff078ff78a13e8e29a02b4424
- 465c8bbf75a1717546450cf88aa53d4e12345ab2c776b99dbef1c147da34966a
- 4ba64f21fb69f2b10debdcf9f8424d0090c98d4dfb3d0d0f9faac0458ba9ae00
- 7dd938f2b0d809a80e9e3bf80f9c9d5b27145962871fdc19772ecda95b948abb
- b8e6665682f4a0a70dcbd4134441041f290fc8b357503ab122fc09911a8a9629
- c95fcee5b3daace259c4f31f699c4fca82da7ebc8ed950caa630ca763b2b3e15
- f541d5c6338d65afba2245685ac1189b44c90393d7e67b70289e1f28b6da6c52
