Для кібератаки на Україну скористалися 7-річною вразливістю

Дослідники кібербезпеки нещодавно викрили таргетовану операцію проти України, у якій зловмисники скористалися вразливістю Microsoft Office семирічної давнини для розгортання шкідливої програми Cobalt Strike.

Нещодавно дослідники кібербезпеки виявили складну таргетовану операцію, спрямовану на Україну, яка скористалася майже семирічною вразливістю в Microsoft Office для розгортання Cobalt Strike на скомпрометованих системах, про що повідомляє thehackernews.com. Атака почалася наприкінці 2023 року з файлу слайд-шоу PowerPoint під назвою signal-2023-12-20-160512.ppsx, що натякає на потенційне посилання на застосунок для обмінювання повідомленнями Signal, хоча докази такого розповсюдження залишаються непідтвердженими.

Деталі атаки

CERT-UA (Команда реагування на комп’ютерні надзвичайні події України) виявила попередні кампанії з використанням месенджерів, як-от Signal, для доставлення шкідливого програмного забезпечення, а нещодавня інформація свідчить про ескалацію атак на Збройні сили України через платформи для обмінювання повідомленнями та знайомств із боку угруповання UAC-0184. Ця група використовує такі шкідливі програми, як HijackLoader, XWorm і Remcos RAT, а також інструменти з відкритим вихідним кодом, зокрема sigtop і tusc, для викрадення конфіденційних даних зі скомпрометованих пристроїв.

Дослідник безпеки Іван Косарєв пролив світло на вектор атаки, детально описавши використання CVE-2017-8570, нині виправленої вразливості в Office, для виконання довільних дій шляхом змушування жертв відкрити спеціально створений файл. Шкідливий скрипт, розміщений на weavesilk[.]space, ініціює подальші етапи атаки, запускаючи HTML-файл із кодом JavaScript, забезпечуючи постійність через реєстр Windows і розгортаючи корисне навантаження, яке маскується під клієнта Cisco AnyConnect VPN.

Розслідування не виявило конкретного зв’язку з певним суб’єктом чи групою, що залишає відкритою можливість того, що це була діяльність червоної команди. Крім того, залишається незрозумілим мотив вторгнення, хоча військова тематика приманки наводить на думку, що атака була спрямована на військовослужбовців. Варто зазначити, що зловмисники використовували такі доменні імена, як weavesilk[.]space і petapixel[.]fun, щоб замаскувати свою зловмисну діяльність, видаючи себе за не пов’язані з ними легітимні сайти, щоб ввести в оману потенційних жертв.

Фінансовані урядами загрози та кібероперації

Ці дані з’явилися на тлі викриттів CERT-UA про цілеспрямовані атаки на українських постачальників електрики, води й теплоенергії з боку російського державного угруповання UAC-0133, що входить до ширшої групи під назвою Sandworm. Група UAC-0133, знана своїми підривними та руйнівними операціями проти України, використовує такі шкідливі програми, як Kapeka та її Linux-версію BIASBOAT, а також GOSSIPFLOW і LOADGRIP для саботажу критично важливої інфраструктури.

Багатогранні загрози, з якими стикається Україна, свідчать про еволюцію ландшафту кібервійни, у якому державні суб’єкти використовують складні тактики й інструменти для досягнення стратегічних цілей. Поточні операції підкреслюють необхідність посилення заходів кібербезпеки та міжнародної співпраці для ефективної протидії цим постійним і адаптивним загрозам.

DigVel може допомогти захистити ваш бізнес у ці непрості часи. Почніть із замовлення детальної консультації вже сьогодні!