UAC-0050 APT IOCs - SEC-1275-1

Правительственная группа реагирования на компьютерные чрезвычайные ситуации Украины (CERT-UA) отслеживает деятельность киберпреступной группы UAC-0050, занимающейся шпионажем, финансовыми хищениями и психологическими операциями. В период с сентября по октябрь 2024 года UAC-0050 предприняла не менее 30 попыток похитить средства украинских предприятий и индивидуальных предпринимателей.

Оглавление

UAC-0050 APT

Используя такие инструменты, как Remcos и TektonIT RMS, UAC-0050 получала несанкционированный доступ к компьютерам бухгалтеров, фальсифицировала финансовые операции и похищала суммы от десятков тысяч до миллионов гривен. Их атаки отличаются изощренностью, в них используются различные вредоносные программы, такие как Meduza Stealer, Lumma Stealer и Darktrack RAT. Похищенные средства обычно конвертируются в криптовалюту для финансирования дальнейших атак, включая операции влияния под брендом Fire Cells Group.

UAC-0050 - злоумышленник, действующий с 2020 года, в основном нацеленный на украинские государственные учреждения. В предыдущих кампаниях они распространяли вредоносную программу Remcos RAT с помощью фишинговых кампаний, часто выдавая себя за Службу безопасности Украины и распространяя электронные письма с вредоносными вложениями. Ранее группа использовала инструменты удаленного администрирования, такие как Remote Utilities. Судя по всему, их атаки мотивированы шпионажем.

Indicators of Compromise

IPv4

101.99.93.108
101.99.93.144
101.99.94.69
111.90.147.146
111.90.147.147
111.90.148.191
157.20.182.18
172.86.68.37
185.185.71.79
213.109.202.97
45.143.166.100
77.105.161.194

IPv4 Port Combinations

101.99.93.108:1723
101.99.93.108:2404
101.99.93.108:465
101.99.93.108:80
101.99.93.108:8080
101.99.93.108:8091
101.99.93.144:2404
101.99.93.144:465
101.99.93.144:4899
101.99.93.144:50255
101.99.93.144:80
101.99.93.144:8080
101.99.94.69:21
101.99.94.69:2404
101.99.94.69:44444
101.99.94.69:4899
101.99.94.69:80
101.99.94.69:8090
111.90.147.146:21
111.90.147.146:2404
111.90.147.146:465
111.90.147.146:54750
111.90.147.146:80
111.90.147.146:8080
111.90.147.147:5652
111.90.147.147:80
111.90.147.147:8091
111.90.148.191:15666
157.20.182.18:4449
172.86.68.37:7363
213.109.202.97:15647
45.143.166.100:52336
77.105.161.194:80

Domains

avoufshire.icu
basedsymsotp.shop
bitbucket.org
charistmatwio.shop
commisionipwn.shop
complainnykso.shop
faillymoodkywko.shop
githubusercontent.com
grassemenwji.shop
ignoracndwko.shop
preachstrwnwjw.shop
qwdfewf.com
stitchmiscpaew.shop

URLs

http://77.105.161.194/file/6706e721f2c06.exe
http://avoufshire.icu/cee6b323faaaf788.php
http://qwdfewf.com/dwn_legit_file
http://qwdfewf.com/dwn_payload_file
http://qwdfewf.com/reg_auth_machine
https://bitbucket.org/filedataup/up/downloads/Документи.zip
https://bitbucket.org/fwfsfw/fwf/downloads/fkfjirc.txt
https://bitbucket.org/fwfsfw/fwf/downloads/kfriakr.txt
https://bitbucket.org/fwfsfw/fwf/downloads/knsfcpm.txt
https://bitbucket.org/gdffffffff/ddddd/downloads/img_test.jpg?11811735
https://bitbucket.org/hgdfhdfgd/test/downloads/new_image.jpg?11811735
https://bitbucket.org/hgdfhdfgd/test/downloads/new_image.jpg?14441723
https://bitbucket.org/sdgw/sdge/downloads/5652.txt
https://bitbucket.org/sdgw/sdge/downloads/80.txt
https://bitbucket.org/sdgw/sdge/downloads/8091.txt
https://bitbucket.org/sdgw/sdge/downloads/970.txt
https://bitbucket.org/sdgw/sdge/downloads/ash.txt
https://bitbucket.org/sdgw/sdge/downloads/ivan.txt
https://bitbucket.org/sdgw/sdge/downloads/jfa.txt
https://bitbucket.org/sdgw/sdge/downloads/lumma.txt
https://bitbucket.org/sdgw/sdge/downloads/medusa.txt
https://bitbucket.org/sdgw/sdge/downloads/one.txt
https://bitbucket.org/sdgw/sdge/downloads/putty.txt
https://bitbucket.org/sdgw/sdge/downloads/serv.txt
https://bitbucket.org/sdgw/sdge/downloads/serv7.txt
https://bitbucket.org/sdgw/sdge/downloads/stea.txt
https://bitbucket.org/sdgw/sdge/downloads/two.txt
https://bitbucket.org/sharedua/ua/downloads/scan_documet_027839.rar
https://bitbucket.org/shieldadas/gsdghjj/downloads/img_test.jpg?11811735
https://raw.githubusercontent.com/santomalo/audit/main/img_test.jpg?14441723

MD5

0193fc7db239cbbf20b3773ac27c3696
02f9b06f49c7d68f88274c6cf330ca90
0524cbdb10ef3b2db44a5760651d6907
0cea4da7b07c93089db79c994fadb1d7
1257df439adf16f3b4120ae1f0597ab4
1646f15c50014cd286c26970f72c721b
1664d5f3dc065840b88ee13b4b929e16
18ce19b57f43ce0a5af149c96aecc685
197121c31d871b52043661f8a43eb8f8
1b8a04e03b265d0397c024b692e25c6e
1dfd7cbdea62f44e8bd61f5a4d2af502
1f2975ae950979babd41856eecc5e911
22865eb508afb7fabbe06e656568150d
229d45a1f1d2186f420e4f0efdec1409
2c69e12d42f253e59ad4528ff733d824
2e401b1d91dfbbb5d3cba4355ed4063c
324fcc037b5fdbd13f215e72c6fb9de1
36219c4f77fabbc875a8a77de0957d5e
3a4d72e3e1a517366531590cc58a579a
3ab49c12b0bfcbb323bb5a1d340107ff
3befb9b16ab729cb25c9ec206bdd9f8d
3d4d2c732c40acd35bea1c296ba30f5a
3df171ee8218dc8e8baffe34182d431f
47af950e0f1f31ba00a0c57ec9b084c7
48615476a84b7287deb1a82fa0681509
5699d5b44379624ebc78078a1b85e18c
602b57e32258293aa6cf7211dc28bebc
60ab004024e8d5adae3fcd266c122563
63d9007e885f21c52504a091d7688181
69e9b53f7456016ee4517f45e6fc440b
72a24df8d4657a459f83b23f3ac933af
75af34843632a6a54a9c11cb13c2cb05
872f7ca18a26c3692e366b922d1cc756
89accddf2e92386cdfdbfd410bfe19cd
8bbb87f6168856ffbe2b1a0b0f2a6db3
92ec727033235e94e2e9dcc03a9ef8e1
974e6cfd1ef96ef09c82a85823496882
9d26cee91cd86b11808a161681be9f85
9e0e18235e99064f3c4290fb2d0deb99
a3ccfd0aa0b17fd23aa9fd0d84b86c05
a529da4a23578aa5c4198936066f5ea2
a5a98320f9ac5232423dbde020b8af40
a61cd75428195955c56a9eef603912ce
aa9a238281d6dfd8a57e40752ba4d07e
aaa32f87e6c5caefb4770bcf29c7dda3
ab1766e20f7dcd989dbe5178f79f1021
b373fc25283d5b207d45380e9cecba48
b46ef4a62ad75dc65bb0d55bbfcd59a9
bbc6e31bcca7dec6cbe59cbf4ece59de
c7c365fcec491a75854608edb692bb9e
ca8f4e7d52aaa9b0ec1407b806345db9
cf229a487670d264355f4511a3ce2886
d024a106a4d0a537aa254a0d917540ae
d189ae43ea803340ad94e35f3ee0915a
d1d0573e62a1f7309a1266c55c052bee
d7d10ec84c543719e58c9b5bb2ed52f7
e0d39b0a0496243d533fe927251c3b32
e4a0088a326a0e2e97c6f261d15c0be0
e63464b04abe0d35705134666dfa7c5f
ed620fb41d32c4716611d652d5646aed
f510b2722913b6e4ff8cf5661e2330d2
f711ddd685a3e0c0c2cbb256987b4203
fa858768d8c5ac5167e1b24bc8da23cc
facba053354b90a0952001ae56181ec6

SHA256
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