Группа Silent Werewolf была замечена в использовании новых загрузчиков в атаках на российские и молдавские организации, чтобы ограничить отслеживание вредоносной полезной нагрузки и затруднить изучение группы.
Описание
В марте эксперты BI.ZONE Threat Intelligence выявили две кампании кластера Silent Werewolf. Первая кампания была направлена на российские организации, а вторая - на молдавские и потенциально российские структуры. Для получения вредоносной полезной нагрузки с сервера злоумышленников использовались два варианта загрузчиков, хотя конкретная полезная нагрузка на тот момент была недоступна для изучения. Прошлые атаки Silent Werewolf позволили предположить, что в качестве VPO, скорее всего, использовался XDigo.
Киберпреступники часто используют фишинговые письма, выдавая себя за авторитетные организации или ссылаясь на них, чтобы повысить доверие к себе и побудить получателей открыть вредоносные письма. Сила бренда компании побуждает киберпреступников использовать ее личность. Узнаваемые логотипы и элементы корпоративного стиля повышают доверие пользователей, способствуя вовлечению в переписку. Однако важно отметить, что владелец бренда не несет ответственности за преступные действия и последующий ущерб.
Фишинговые письма по-прежнему остаются одним из распространенных методов атакующих, особенно в кампаниях, связанных со шпионажем. Атакующие стратегически ограничивают доступ к вредоносной полезной нагрузке, что затрудняет исследовательскую работу. Используя легитимные методы и запутывая вредоносные программы, атакующие могут ускользать от обнаружения в течение длительного времени, эффективно достигая своих целей в кибератаках. В конкретном примере кампании, направленной на Россию, Silent Werewolf использовал обфусцированные загрузчики в фишинговых письмах, содержащих ZIP-архивы с кликабельными ссылками. Эти архивы содержали файлы, внешне выглядящие как легитимные, а также вредоносные компоненты, такие как библиотеки DLL, которые выполняли вредоносные действия при взаимодействии.
Индикаторы компрометации
