APT28 kasutab Ukraina sihtmärkide petmiseks Windowsi värskendusi

Venemaaga seotud häkkimisrühmitus APT28 võttis sihikule Ukraina valitsusorganid a oda andmepüügi kampaania mis kasutab võltsitud Windows Update'i juhendeid.

Aprillis täheldas CERT-UA pahatahtlike meilide saatmist Microsoft Outlookis valitsusasutuste süsteemiadministraatoritelt – teemareaga „Windows Update”. E-kirjade eesmärk oli meelitada adressaate "käivitama käsurida ja täitma PowerShelli käsku".

Tegutsedes Venemaa kindralstaabi luure peadirektoraadi (GRU) sõjaväeüksusest 26165, APT28 grupp on teadaolevalt tegutsenud alates 2007. aastast ja on võtnud sihikule mitmesuguseid operatsioone kogu maailmas, sealhulgas valitsusi, julgeolekuorganisatsioone, sõjaväelasi ja 2016. aasta USA presidendivalimisi.

"Mainitud käsk laadib alla PowerShelli skripti, mis operatsioonisüsteemi värskendamise protsessi simuleerides laadib alla ja käivitab järgmise PowerShelli skripti, mis on loodud arvuti kohta põhiteabe kogumiseks, kasutades käske "tasklist", "systeminfo" ja saadab sai tulemusi Mocky teenuse API HTTP-päringu abil CERT-UA hoiatus on märgitud.

Edaspidi soovitab CERT-UA PowerShellile piiranguid seadvatel organisatsioonidel kasutada ja jälgida võrguühendusi Mocky teenuse API-ga. NCSC, NSA, CISA ja FBI avaldasid ka ühise nõuande teabega seotud taktikate, tehnikate ja protseduuride (TTP) kohta. APT28 rünnakud.