Группа TA406 начала атаки на правительственные организации в Украине в феврале 2025 года, используя фишинговые кампании для сбора учетных данных и распространения вредоносного ПО.
Описание
Вероятная цель атак - сбор разведданных. TA406, спонсируемая КНДР, использует подделку отправителей бесплатной почты и ссылок на файлы, загружаемые с защищенного паролем архива через сервисом хостинга MEGA. Письма содержат заманчивый контент, связанный с украинской внутренней политикой.
На следующих этапах кампаний TA406 использует PowerShell для сбора информации о целях, отправляя зашифрованную информацию через POST-запрос на сервер. Компания Proofpoint отмечает также попытки сбора учетных данных отправкой фальшивых уведомлений о безопасности Microsoft украинским организациям с просьбой проверить активность через вредоносные ссылки. TA406 также пыталась собрать учетные данные путем рассылки фальшивых сообщений об активности в учетных записях пользователей. Домен jetmf[.]com использовался для сбора данных в компании Naver.
В целом, атаки TA406 на правительственные учреждения Украины подтверждают их стремление к сбору разведданных и учетных данных для целей шпионажа и информационных операций.
Индикаторы компрометации
