Check Point Research обнаружили новую кампанию APT-группы Stealth Falcon, использующую файлы .url для эксплуатации уязвимости нулевого дня CVE-2025-33053. Уязвимость позволяет удаленное выполнение кода через манипуляцию рабочей директорией, что приводит к загрузке вредоносного ПО с контролируемого злоумышленниками WebDAV-сервера. Microsoft уже выпустила патч 10 июня 2025 года в рамках ежемесячных обновлений безопасности.
Описание
Stealth Falcon, также известная как FruityArmor, нацелена на правительственные и оборонные структуры в Турции, Катаре, Египте и Йемене. Группа использует фишинговые письма с вложениями, эксплуатирующими WebDAV и LOLBins (легитимные инструменты Windows), для доставки вредоносных нагрузок.
В ходе атаки злоумышленники применяют кастомные импланты на базе открытого фреймворка Mythic, включая новый агент Horus, названный в честь древнеегипетского бога с головой сокола. Этот имплант оснащен антианалитическими механизмами и проверяет систему перед развертыванием дополнительных модулей, таких как кейлоггеры, бэкдоры и инструменты для кражи учетных данных Active Directory.
Один из ключевых векторов атаки - манипуляция рабочей директорией через .url-файлы, что заставляет легитимные процессы (например, iediagcmd.exe) запускать вредоносный код с удаленного сервера. После успешного внедрения загрузчик Horus дешифрует документ-приманку (например, фальшивый PDF-отчет) и внедряет основной payload через технику IPfuscation, скрывая вредоносный код в виде списка IPv6-адресов.
Stealth Falcon также использует кастомные инструменты пост-эксплуатации, включая дампер учетных данных доменных контроллеров, который обходит блокировку файлов через работу с виртуальными дисками (VHD), и пассивный бэкдор, маскирующийся под системный сервис.
Эти атаки подчеркивают растущую сложность инструментария APT-групп и их способность адаптировать открытые фреймворки для целевых операций. Организациям в регионах Ближнего Востока и Африки рекомендуется срочно установить патч Microsoft и усилить мониторинг подозрительной активности, связанной с WebDAV и нестандартными процессами.
Индикаторы компрометации
