APT28 käyttää Windows Update -uistimia ukrainalaisten kohteiden huijaamiseen

Venäjään sidoksissa oleva APT28-hakkerointiryhmä kohdistui Ukrainan hallituksen elimiin keihäs-phishing-kampanja joka käyttää vääriä "Windows Update" -oppaita.

Huhtikuussa CERT-UA havaitsi, että Microsoft Outlookissa lähetettiin haitallisia sähköposteja, jotka näyttivät olevan hallintoelinten järjestelmänvalvojat, joiden otsikko oli "Windows Update". Sähköpostit pyrkivät huijaamaan vastaanottajia "käynnistämään komentorivin ja suorittamaan PowerShell-komennon".

Venäjän yleisesikunnan päätiedusteluosaston (GRU) sotilasyksikön 26165 alaisena APT28-ryhmän tiedetään toimineen vuodesta 2007 lähtien ja on kohdistanut erilaisia ​​operaatioita maailmanlaajuisesti, mukaan lukien hallitukset, turvallisuusjärjestöt, armeijat ja vuoden 2016 Yhdysvaltain presidentinvaalit.

"Mainettu komento lataa PowerShell-komentosarjan, joka simuloi käyttöjärjestelmän päivitysprosessia, lataa ja suorittaa seuraavan PowerShell-komentosarjan, joka on suunniteltu keräämään perustietoja tietokoneesta 'tasklist', 'systeminfo' -komentojen avulla ja lähettää sai tuloksia käyttämällä HTTP-pyyntöä Mocky-palvelun API:lle CERT-UA-hälytys ilmoitettu.

Jatkossa CERT-UA suosittelee, että PowerShellille rajoituksia asettavat organisaatiot käyttävät ja valvovat verkkoyhteyksiä Mocky-palvelun API:hen. NCSC, NSA, CISA ja FBI julkaisivat myös yhteisen neuvon, joka sisältää tietoa taktiikoista, tekniikoista ja menettelyistä (TTP) liittyen APT28:n hyökkäykset.