Обнаружена кампания целевой рассылки, потенциальными жертвами которой становятся российские промышленные предприятия.
Описание
Письма рассылаются с одинаковой темой и содержат вложение под названием «Application_[REDACTED]_5_03D.zip». Вложение выглядит как защищенный паролем архив, но на самом деле в нем используется вредоносная технология «полиглот», позволяющая содержать как безобидный компонент, так и вредоносный код на нескольких языках программирования. Файл «Application_[REDACTED]_5_03D.zip» представляет собой двоичный исполняемый файл с небольшим ZIP-архивом в конце.
Внутри вредоносного архива находится ярлык с именем «Application_[REDACTED]_5_03D.pdf.lnk», при открытии которого запускается интерпретатор powershell.exe с определенными аргументами. Этот сценарий ищет файл «Application_[REDACTED]_5_03D.zip» и запускает его как исполняемый файл. Он также извлекает часть содержимого файла, сохраненного как «Application_[REDACTED]_5_03D.pdf» во временном каталоге, и запускает его. В результате пользователь видит документ-обманку, который выглядит как заявка на ремонт оборудования от министерства.
Исполняемая часть файла представляет собой бэкдор под названием PhantomPyramid, написанный на языке Python версии 3.8 и скомпилированный с помощью PyInstaller. При запуске бэкдор формирует JSON-запрос с уникальным идентификатором, полями private IP и public IP и отправляет его по определенному URL. Бэкдор получает публичный IP-адрес с помощью сервиса api.ipify.org и частный IP с помощью функций socket.gethostbyname(socket.gethostname()). После отправки данных бэкдор ожидает ответа от командного центра, подтверждающего успешную регистрацию бота.
Затем бэкдор начинает запрашивать определенный URL-адрес для получения дальнейших инструкций.
Indicators of Compromise
