В 2022 году геополитическая ситуация в мире обострилась, что привело к росту активности APT-групп. Одной из заметных групп, нацеленных на Россию, является Shedding Zmiy, которая сместила акцент с финансовой выгоды на шпионаж. Считается, что Shedding Zmiy связана с группой Cobalt, известной группой финансовых атак. Атаки Shedding Zmiy становятся все более изощренными, в них используются пользовательские загрузчики, бэкдоры и веб-оболочки, которые ранее не встречались в публичном пространстве. Это затрудняет приписывание атак одной группе.
В одном из случаев, расследованных командой Solar 4RAYS, Shedding Zmiy атаковал российскую правительственную организацию. Злоумышленники использовали уязвимости в Microsoft Exchange Server, получив доступ к инфраструктуре. В ходе расследования команда обнаружила, что злоумышленники использовали уязвимость OWASSRF, воспользовавшись двумя конкретными уязвимостями: CVE-2022-41080 и CVE-2022-41082. Злоумышленники разместили на взломанном сервере четыре файла, используя различные проекты и маскируя их случайными и вводящими в заблуждение именами.
Одним из критических аспектов уязвимости была необходимость аутентифицированного доступа к серверу. Проанализировав журналы веб-сервера, команда Solar 4RAYS определила учетную запись, использовавшуюся злоумышленниками для эксплуатации, а также IP-адреса, связанные с вредоносными запросами. Скомпрометированная учетная запись принадлежала местному органу власти с определенным департаментом, что послужило зацепкой для расследования. Затем команда проанализировала данные с систем, используемых пользователями из этого диапазона, и в итоге обнаружила каталог, который был создан в определенную дату и время. Этот каталог содержал ценную информацию, позволяющую установить ход атаки.
Shedding Zmiy - это активная и профессиональная APT-группа, которая сместила акцент на шпионаж. Они используют различные техники и инструменты, что затрудняет приписывание им атак.
Indicators of Compromise
IPv4
- 103.45.245.85
- 104.21.76.6
- 104.21.84.96
- 113.203.221.20
- 113.203.221.22
- 113.203.221.4
- 113.203.221.6
- 130.193.55.216
- 139.99.68.157
- 145.239.5.30
- 146.190.23.86
- 147.135.11.223
- 147.135.36.162
- 162.247.74.202
- 166.70.207.2
- 172.67.184.201
- 172.67.190.233
- 178.176.79.132
- 178.20.55.16
- 178.250.245.13
- 185.129.62.62
- 185.141.24.194
- 185.147.81.74
- 185.220.101.139
- 185.220.101.142
- 185.82.200.167
- 188.127.242.204
- 192.42.116.13
- 192.42.116.27
- 193.201.83.11
- 194.182.191.65
- 194.226.49.147
- 194.61.120.146
- 195.14.123.45
- 195.2.76.120
- 209.141.59.116
- 45.11.181.152
- 45.67.230.198
- 45.82.33.248
- 5.181.234.58
- 5.45.85.176
- 5.8.16.149
- 5.8.16.166
- 64.226.104.111
- 80.66.64.81
- 80.67.172.162
- 86.105.25.218
- 88.218.60.89
- 88.218.61.97
- 88.218.62.79
- 89.234.157.254
- 91.142.73.205
- 94.103.84.207
- 95.143.191.245
Domains
- 0bitcoins.com
- avptp.com
- backconnect.org
- bot.upd-rkn.net
- chifa.rpm-bin.link
- eu-debian.com
- get.upd-rkn.net
- lib.rpm-bin.link
- mtp.upd-rkn.net
- netstaticpoints.com
- onexboxlive.com
- pkg.collect.net.in
- rls.upd-rkn.net
- stoloto.ai
- techcname.com
- wsdjcvfv.com
URLs
- https://github.com/ajmwagar/merino/tree/master
- https://github.com/kost/revsocks
MD5
- 00a21f938b1e603c14f0e669850afdaf
- 00b235923dd3663c63ac5695e6caf2dd
- 02c08342728d58d5d392457ba41f06cb
- 09c9f674d45ccf9066174cf3a911770a
- 0da63b385b2b6650dd6acf3b511e5ac8
- 1256d62b4d15ca785766c4bc4f0e0a01
- 13450db3e912b75dd84063dab5cdde65
- 137301b4f7c09d0b5b2a9261f7bdec0c
- 16695c4db4b4a658610f0849583b32ef
- 1742b52bb41a3456bf30570726a60059
- 1aaacc88008342ba5e9d63e87667c149
- 1c2c01c22712e0ed3444b5aae5c5dfac
- 1f2eb8ca3b04ab9e722708976bd08c5c
- 28f0be8918d0db39187d523e2f77f445
- 28fd90deab4a121c0c31e24f526d1995
- 29efd64dd3c7fe1e2b022b7ad73a1ba5
- 2c46d1a9d18dfaa79265eb448220f246
- 30049ea8ac7e3029f911c11ddbcd92dc
- 375a82ae45a8041fc02a648f19154501
- 3c93a4e4d52a07b57bf0b4095a3c9fbb
- 3cb55f14288f2b62f72e26d0b8cd45a7
- 3cf40a0458aae04e73e2a61ea82fbd19
- 3de34143d90ad3d74ae2c82d91f5ca42
- 4a40da404e486ac0e676e651a25e8389
- 4abcb455f9838f901bd6e13d3716a1ef
- 52c89092568e8df1db254e80f914859a
- 56665014a0e5b3d58b363e01e83b3f9f
- 5c6e5aa1ec21fcaa6792b82abab401fe
- 5d91bf790426b93c112daa980fb2d4f8
- 5fc4eef37ec583caac5a71918984af53
- 63af958b05af414121fb7cc623a90671
- 66aca695bb71ef312ebd46a053edf5b8
- 692b9d3376f735931214664afe4eb7bb
- 6972b5f2ea828a80bca63aac2e82e325
- 6983f7001de10f4d19fc2d794c3eb534
- 69dbab30f46a8ac9ce46af4420cf54ca
- 6b88b2443cb4bd6aed66931a395873cf
- 6e78c9b597e2b12cc349c72d44a61a36
- 6eaf7f630e11a9f78cbe31d2d22858df
- 6ef77ad40f5ef04d497527d1b0a0c04d
- 7d626c1bb19def4369386ee06aa08f76
- 7e8999958530f70264937a84e8b3beff
- 806369a8169652e10fd0fb5f60bef1e1
- 81093c3bf3ca623174866612c696f1b7
- 8109da0a109b05905e427b6e8eef6c4c
- 831c266619f229075fc3660e144de50b
- 8773ce3c1e4000f6db41a7bf0da625ad
- 887b166e87809c313ace45667665d32e
- 89d25c215b4d7ce3d1cb3cc9d538a0bf
- 8da434f75203550b6c32893d2d3850c0
- 8e9a22b02b861c4277c9a9f5e735b445
- 9081b43f719355d4376c4f4d457c715c
- 91e4ee433cc834136b099a3cb738f809
- 939cc38ef64a3e5148d889fa4423d464
- 98809d8d0735a5a01598094387ef1c33
- a0ecf5f5bc5d22e9e57c3f14c495b97c
- a959bd9c92e6274ee6f8a9613c78fd18
- ada86dc2af3376f77c99dfce0fa88ed7
- ae271ec982c35683b7d5edefa83a7f35
- b06ded77875fce14892522f16c099e29
- b4aa788e1ca35302f67d344b82e6ed47
- b9f9d586d8a26b03c22773e10bc14d41
- c5b1576a9a983f6bf551dc6df989462e
- cd76c9652a6146200039481375d24fe8
- ce2c6a4dd0a79a9e89b2c3195eee6727
- d3bb9583db450daa24f50afcea474ddc
- d5dbce918c46e9f86a35be2893c9efb2
- db07a0fbb9ffc1d282159752437260ac
- e14a5f2039faa75866588d3c035c183c
- e3d36ab8622f7315d46c49414c4efed3
- e73efa42ffad870094a963bfc1cb3aaa
- e9f5865cceed38f3cc78eaf7922dc767
- ebfaaebafb778b6bea238ade245d1ab6
- f550e08465936bf57ff4fc342852c91c
- f84e409b4ca80e349a19fa7555177379
- fa31f5578b5d51c3354ee56d72d564b8
SHA1
- 052d62da71a71c2ce5a5cadfbec02649c9117c43
- 0920fd89fd4277b918e337e52ecf751606341815
- 0a7a743ee8f505fe6b7cfebb11f81c6091625627
- 10b4c643853e078c2d1a08dd6aa2308c3e381fd3
- 1260fa5c7696bf0206019e9bfed0ccbe8c87e36b
- 21d7f8f1ce77f98b284389e31ee14fe25b3cc685
- 2243f9900ec981e8fa9415b34f77f81680fbba8e
- 23873bf2670cf64c2440058130548d4e4da412dd
- 2387bf6c7107ca2ff3829b7ee6b916dccf30fb6b
- 23f7b196babfd8449c139be416321318ed477497
- 284d40c1ef60213dd84d225af231875e4f21f252
- 2bc2b4eb37d91969f031deddac51ec0e25d9fcc7
- 331f9d94a7a16d3aad6288537c9da47cc12d9f6b
- 36f05bc39cac762fc2afd1e8444efb35f78dc97e
- 3a5dc97a27a31f7077d6c6551269f7632f307162
- 3d974a11c0ff2dffc1ca9aab89f32b3a1779e23b
- 3ea5a7fa881c9a456f601a89dcd498f149625f5f
- 3ebdb906fcc9f52858dd126569c7fc45e921482a
- 4024adeb307090172c1fb0b4bcbd6265257ac935
- 4043cecdee4fdd82b950ad5716d39fcc3a953433
- 409209b69ccc95a79ee1848bc5df8834b01b9aed
- 435f5ff67ac324c1487c10cc76dcd12eb7dc9915
- 45a671f1650a3cf8cbecd96f083bb0a3d584bcdb
- 47a9107e9568a9faef8937cc2debf4da727e74ee
- 482388f4dae14a6a7527fd8e6ed5cf4cf6bb5621
- 484fe9be0f1635586a25f281066f98a3219ec888
- 5218f825bb5a812708082a45e5783d98cc8e7e8d
- 525d8cf449b5ac70689bfdd7103e7f49c5422aa8
- 538cce6325be62f533894b77d1e4cb9ae2a0cadd
- 583662360a3a3d400a6af62032800dae738555f7
- 5a8eb15cf6cc1964ab4e12b57ac18d0859716993
- 5d3a44d18ca476b1ceb18ad20063bcfa1fc0c3bd
- 630bab1432c0224c111cf81686d284d81ce35b1f
- 6337a05e2e7e0adbf1c2c0b3b2ec8af823db26d8
- 63c8003324f6c858ffc7ce2e97cbde5df1a1a70c
- 68a2f40f7ffec19155ec6f57fac444ee18509718
- 69652d5093244fab15da45e07c00d08f5392f070
- 70665fdb644b98120f211da33b3ab46abaed9a05
- 71a8ac941a1aa14a6f6668ae5aa5057e63590467
- 73dae2c0f466bdfc54c15f83a50d168943240152
- 762307a5d6abe0c00b7e759967b173723c141977
- 7772d7b4a94583559efdb0166f0ed08a758aed38
- 7e6d3ca512d5b43c603e7caa0780c9a85b9cbf8a
- 80528a617c711a39d376a99bcbb1a8f7c6d11749
- 8337e1b0abcc1b195d69ade0f7edadf8fb418cda
- 852e6dbdc86c360b1024f59a7f3d5100c5e88fcd
- 853fc8d8716e02ade6bcc921d0cd0c0e1c301ed1
- 8c94bc199197d6e8fc389521935df8ba7bda026a
- 8d99ccaa3cfc9cd78fcc792f48a622b70b1332d0
- 983ef4cbf1275918021291d836cd4a03d938af7b
- 9df13daecf5e3f3e9ade27eb3e0f0220630aab8a
- a3c94db7f2ed462485ee9ee97fec4d3c28d8dad0
- a81f1a2efa4a8898c1694b3a3a4699e9cb87347e
- a9419939bb449a3d91edf0b25b6f97461d3903ea
- a9d3692f30ff2ee0ea1fa6dfa4b854d08c7c4a59
- b9c0d816824f8145c0c035be83cfb35608ee5e6c
- c1e431010b22f659f05a6d201a85e215ffd2b830
- c848109d1f7bad5af0ada073d266ed0ac6f2c461
- ca915b1de20306a91578ba38073d1657cb442697
- cfced9e0dd01e8fb125b58ddbaf6328f090b37db
- cfcf1aa96094f3ae887dc17f5255d1c9b3cab91d
- d90e2acca4af042fe8a76f428af6ca742224409d
- da7382e4ff26c63980d5370d47b91c6c06e96753
- e10054f05229894c6e9ddeb78d0093d6b8488ca8
- e29e0ea89126db232db75890381e286e375547d9
- e3b6ea8c46fa831cec6f235a5cf48b38a4ae8d69
- e3cd102fe0666abbfbc134a494d70c9a803d09c2
- e4103495ca9895e9bd3f8aec2ffad7d78295848c
- e7756eaf52ef16640742810581059cb54b04c6a8
- e8b569e1799811fd28da7e5b4554330adee3ab53
- eb41f7d94f6b63103704b0cac527eb30f3717b24
- ed4eaf2495b89e563fcdcbe37eaeea3ca03789af
- ed6970fe788056e7651e7cc427b6056de031dd64
- f07ad7d735aa0d6aae732112c8ce81e305253dc9
- f4ec1b9b797324b73ba2deab018c9fcfc05b1018
- f4f1895bce5194e26b1a8f8dc02400f8aebc1a1d
- fda2650ef2f697671d0b787a0f75fbd56564593c
SHA256
- 077fa453937cc24f3e22c7086fbecd53b25bde5b7144a072c9129c9a924ecf5a
- 07e7ce324773077d571c026405790fe61209008017e71313a3713e9d9095fc4d
- 10b1f47d2edcebd6e6cb5ab182deaae8cbbe380e9972983023cf8953d1e91a8c
- 123d3f3c3412cb232a39abd2d4eb9c669fb7e0a2ffa61e20b7a1fc47e64178e3
- 14e5723d246fcf50a05cdfd6a1bb0e30ca4aca65938c98fcaced6a8f5c886596
- 1e57052848e2cd89f36315817bcd6c92b5ef9bcb32809126545eb10bb5b4fc80
- 20a86fed476e779cd1b78dd689486626ccd87484ee4b0328bc3540cef3cb356c
- 21337aee6e185df275366704566e750210c0b60564583b3f61d71befe0f0c08c
- 24de8eda46c83e5f713ed7e57fb21100907ce7f6ddac1135530ea6dd45afb02b
- 28c17b45d4010f24a7b6c797552c212c1e6a47b77e75f2b726f8b8e29d6574ea
- 2e2476242a182e334d28388ffa432cd7c79cc5fbcfd230de75cd3e5717088de5
- 30692be59256158f95888f11c0ff67807c3cd734448daf7b62832e4d02ffe869
- 30cf51260f508eade7a568a7868b18d1ba7722b358a70d603e7972371852ba0a
- 35545711eaffcc5ec42c94d85d4cb2fe4b8b856d9d386e11ba0f9d79df93f5b0
- 362fc559c59279d6adfe153a078779ac4f096ee277771d5e812706fa64d67e18
- 3860aeb66da0ac741ecf22ff68b8210319d6550f212140229c5070d05538cb60
- 38ffc5ae369bddd50587c7f9674db14655ae8a1c69b953443e55fe4ad79cbcb5
- 390dd5ec458cc289b9498313d8b74d6f2c84407c2539b745950cfd9d59f608a1
- 3adcf119aaaa93ed795d6d5685bb891a4054f056723e72574c48a95a78eca122
- 3c2fe308c0a563e06263bbacf793bbe9b2259d795fcc36b953793a7e499e7f71
- 3d18d9e9351a45376c3b0183299906464d07aaf2c86272b80608e66787a82779
- 46dfa8948537057c2f5ae881582b83678eb18965155de24cb632cbb1a7298060
- 472300d537fe334bd3a5443d258efacaf18fab0ba500f03a68917b9f7353bbc3
- 48d9f0ba572f5c45ff8e9f8648d214a673c66c4607b3bced7ab36bff4bb2c6f4
- 4dcd87a26cfa86aa7f1aac9fe911f8fec130a9b4b67213901cd6aa0b394df10c
- 4e4c2bd257196ed535f72b08d5b4bfb43396956cedf4d02527ab700edbbc1fef
- 4ffbf25af296e84c57e5f650d41773e87b9cbd36bbd1390dac87160a82180899
- 56797b5fe8750aac46f1e9d25ce42470a1ea920159b4fb05ed509c948cd3c1e4
- 58302c780f37c0ef449a45ba4e8607ac6d6036e8e2f2a54540ed345f324cec19
- 615f660a4153bbf3f57f02f8081ff500ad204b1b673564e0da9598a6360c2d89
- 61c0810a23580cf492a6ba4f7654566108331e7a4134c968c2d6a05261b2d8a1
- 671d7358c2b0d2b1f2697c05b6f17ae40762462ad960ab53613503e8a2f48e78
- 6b4efa6ded5f18ce682a86a1b22aede4fa33974502e015832cb88990d01fe2f0
- 6c04dcae47be5e371af4e7e92d74aa5e4411be7ef27b37ee1dbc1b5e77da2140
- 723a1240e7042c87e3ca749335d9d525da566eccc0113cd5fecb92e6cc2a4552
- 725ce6c922d81faaecb499c6c8ec885a684238eba80cbf291fbb5fa9bcc08cd2
- 7283a99550bb7806fd416e773baa2c542149ccb8d55e7e3d6f06d066681d7d06
- 7692f02bf392170b83360a298a5194250f8de2887da809f9b10669997bc6d583
- 77524078a808e85a28d071d1c751b94525f54dd82295f647684efe6da18e8be9
- 7853869e858cafe1cbebf7f2cb9cbf1d5438c10a8ca21cbfa237d05a552b4ba5
- 78b0b3763f6bc9e5a894cf5fd51a55f17d2d58c8226d2fe2348fae7d3846363a
- 7a6c75d038d7a47f87a3694bb9718b1e97a2b4aa8a9ac0fe24eeb074fd043b5c
- 7c775341c7211c1bd8ccbd8c38451a85ce0254f1e7540d5478abf3be0ec1856f
- 7f6e30b0246ccfeb0c0925c7192235ddc99d46e0b07404a939b57e68819597e1
- 7f848698b4d3d6945d5e51d4d17f7c9e8875ee10dea1bc91b701a9eb19f1f645
- 809c1ed59f35c015690afbea731dd67e063d54c7687b99aca935ef6563ac48b2
- 81927b961b96b241bd7a32bab0b4590da3d9e2d55363f12a209d8c01b51c0aa0
- 898252ae7eea656cfbd7337efc3066ecf9fc3ac4211ddffdd386a95adcd659cf
- 8a9b44ebc0387b0abc3e7e00dcd928613d4179e92df988bff7d86aab926599d0
- 8df4252241140c36fc7e5042de7fcf3544572dfc8fdc04f054559efd32d6c710
- 9132bb991d893f1a18c7675ea29023fa278a73285b5738ba99b818f5831c4d9e
- 92834ea8c7f2354029c5938950b154b97151c173541e78f4b7236d3803c716de
- 93432222cbabe5057bafb6c386dfc12fe7346e78235c1cb343a4326a1695516a
- 9d21f10f4d797eb3a30e1bc261e7d0fdd519f6319eb061492b86bffcaac14a62
- a12c3ba6ae64af819f26bd82401dc9d65bc71fe3ba3889eeefc636af39511288
- a1b0b5d298bf3d73e6bd275ac16aeb89f70c7da5186bc5951c148d20e71ff297
- a2ef8584de3517d5940c28a9223cbc202896f06e0e9f562e142bbce4d1b556c0
- a91d64dd385a59dd2ef8a3f2c681a626f4021d909c4e02082a66f8fc2369cbf6
- adff2a0ae1aeb33de701509d8c00e462c8ea698fca35523ac96c0b9227c647f2
- b4320f83607fb0e49d75bd8a867c52b672e24bb535c053c3fb401d6e45b2bd3b
- b5e29bdb105ae0e76d75c3d3959954c4f6610cd39aaa8f3aa852dd624e662480
- b8ff94ea1ad2c8d8c9fa7581dee0ad23ded73de7ef3fba123cdfa84b39581143
- bd3446338f46145955d0249dabc4ec3b8a0217b2ace90f1622f17785564ea60d
- c13bb932b40eb92b2b1c9aa80de79dd225fab2c6e1de103a37449710483997ba
- c3fb2408050ac87432cfa01f57c270329baa838fdb4c7495d00590d60a856d3f
- c7e18ea14704d88398cf31f834e89ef59743f04b92ad74a7b882ca11db228899
- c88c7ce0291165ce9144660a2236a49462b343414e97b75b3a85d1d43866dff1
- c9aa57da65c7edd0b79a37821c69eba7b3906259975b8a1aa7919e0d3eb8a5b8
- cddeb483e170c5bb431037316bebfe2164fa826f1d3fb8fac453e4c1529b79f5
- ce818ad10e625fa12f5d8ad4ad78bf73b8b445d996cc11ed17ef98878ec7666f
- d11def8ac9f3af92c4e67e72e3da4fb2ae36dca4f34661ee5c03ff3f7330655a
- d47eb1f6a3a03e7240462f41250c6df37f73889639c34a46ce965513b6cb0a63
- d5703352f844424d0649256f7d65dac2b843d84ab3fe75c642db7c5cee60032f
- d649055cc890b139e00eabe0b207df147fa2ec630c17fb2575047b2593b288f5
- e6707ad67817ee8379520084f1891704016ba4750c6cc5a1ed64949b2d49c5e3
- e7f80084419ceac2d4015436efb652de72f0f459a4e2df12751f6d49ef6699ad
- eb67f19555e05ca7c18ea8c10974b3e740ca804395c11e981d104519571a52ee
- ec825d1321ad1d2f819c83301c5ff1970192d45b017a53177507f5e7716bceb8
- eccb60e564d0dd6cdd2ce9c5f89ab7d291bba45e272ee851c4577ec5993a8efd
- f4128696e717d991f59db41bf3f10c5e5da7c2b4c350ddcecf732a73ec93d7e5
- fef8828f4a0174f146ee4de9bac9a2c085dcd1984c98b65e54ec5c0692187bf0
