يستخدم APT28 إغراءات Windows Update لخداع الأهداف الأوكرانية

استهدفت مجموعة القرصنة APT28 المرتبطة بروسيا الهيئات الحكومية الأوكرانية في أ حملة التصيد بالرمح التي تستخدم أدلة زائفة "Windows Update".

في أبريل ، لاحظ فريق CERT-UA إرسال رسائل بريد إلكتروني ضارة على Microsoft Outlook من ما يبدو أنهم من مسؤولي النظام في الهيئات الحكومية - مع سطر موضوع يقرأ "Windows Update". سعت رسائل البريد الإلكتروني لخداع المستلمين من أجل "تشغيل سطر أوامر وتنفيذ أمر PowerShell."

انطلاقا من الوحدة العسكرية 26165 التابعة لمديرية المخابرات الرئيسية للأركان العامة الروسية (GRU) ، فإن من المعروف أن مجموعة APT28 نشطة منذ عام 2007 واستهدفت مجموعة متنوعة من العمليات على مستوى العالم ، بما في ذلك الحكومات والمنظمات الأمنية والجيوش والانتخابات الرئاسية الأمريكية لعام 2016.

"سيقوم الأمر المذكور بتنزيل برنامج PowerShell النصي الذي يحاكي عملية تحديث نظام التشغيل ، وسوف يقوم بتنزيل وتنفيذ برنامج PowerShell النصي التالي المصمم لجمع المعلومات الأساسية حول الكمبيوتر باستخدام أوامر" قائمة المهام "و" معلومات النظام "وإرسال النتائج باستخدام طلب HTTP إلى Mocky service API ، " ذكر تنبيه CERT-UA.

من الآن فصاعدًا ، توصي CERT-UA المؤسسات التي تضع قيودًا على PowerShell باستخدام ومراقبة اتصالات الشبكة بواجهة برمجة تطبيقات خدمة Mocky. تم إصدار NCSC و NSA و CISA و FBI أيضًا استشارة مشتركة مع معلومات حول التكتيكات والتقنيات والإجراءات (TTPs) المرتبطة بـ هجمات APT28.