Grup de amenințări care utilizează tactici rare de transfer de date în noua campanie RemcosRAT

Republicat de Platon

Urmaritori: 0

Grup de amenințări care utilizează tactici rare de transfer de date în noua campanie RemcosRAT PlatoBlockchain Data Intelligence. Căutare verticală. Ai.

Un actor de amenințare cunoscut pentru că vizează în mod repetat organizațiile din Ucraina cu instrumentul de supraveghere și control de la distanță RemcosRAT a revenit la el, de data aceasta cu o nouă tactică de transfer de date fără a declanșa sistemele de detectare și răspuns la punctele finale.

Adversarul, urmărit ca UNC-0050, se concentrează asupra entităților guvernamentale ucrainene în ultima sa campanie. Cercetătorii de la Uptycs care au observat-o au spus că atacurile pot fi motivate politic, cu scopul de a colecta informații specifice de la agențiile guvernamentale ucrainene. „În timp ce posibilitatea sponsorizării statului rămâne speculativă, activitățile grupului prezintă un risc incontestabil, în special pentru sectoarele guvernamentale care depind de sistemele Windows”, cercetătorii Uptycs Karthickkumar Kathiresan și Shilpesh Trivedi. a scris într-un raport săptămâna aceasta.

Amenințarea RemcosRAT

Actorii de amenințări au folosit-o RemcosRAT — care a început viața ca un instrument legitim de administrare la distanță — pentru a controla sistemele compromise din 2016. Printre altele, instrumentul permite atacatorilor să adune și să exfiltreze informații despre sistem, utilizator și procesor. Se poate by-pass multe instrumente antivirus și de detectare a amenințărilor terminale și execută o varietate de comenzi backdoor. În multe cazuri, actorii amenințărilor au distribuit malware-ul în atașamente în e-mailurile de phishing.

Uptycs nu a reușit încă să determine vectorul de atac inițial în cea mai recentă campanie, dar a spus că se înclină spre e-mailurile de tip phishing și spam cu tematică de muncă, fiind cel mai probabil metoda de distribuire a malware. Vânzătorul de securitate și-a bazat evaluările pe e-mailurile pe care le-a examinat și care pretindeau să ofere personal militar ucrainean vizat cu roluri de consultanță la Forțele de Apărare ale Israelului.

Lanțul de infecție în sine începe cu un fișier .lnk care adună informații despre sistemul compromis și apoi preia o aplicație HTML numită 6.hta de pe un server la distanță controlat de atacator, folosind un binar nativ Windows, a spus Uptycs. Aplicația preluată conține un script PowerShell care inițiază pași pentru a descărca alte două fișiere de sarcină utilă (word_update.exe și ofer.docx) dintr-un domeniu controlat de atacator și, în cele din urmă, pentru a instala RemcosRAT pe sistem.

O tactică oarecum rară

Ceea ce face diferită noua campanie a lui UNC-0050 este utilizarea de către actorul amenințării a Comunicații între procese Windows caracteristică numită conducte anonime pentru a transfera date pe sisteme compromise. După cum o descrie Microsoft, o conductă anonimă este un canal de comunicație unidirecțională pentru transferul de date între un proces părinte și un proces copil. UNC-0050 profită de această funcție pentru a canaliza în mod secret datele fără a declanșa alerte EDR sau antivirus, au spus Kathiresan și Trivedi.

UNC-0050 nu este primul actor de amenințare care folosește conducte pentru a exfiltra datele furate, dar tactica rămâne relativ rară, au remarcat cercetătorii Uptycs. „Deși nu este complet nouă, această tehnică marchează un salt semnificativ în sofisticarea strategiilor grupului”, au spus ei.

Aceasta este departe de prima dată când cercetătorii de securitate au observat că UAC-0050 încearcă să distribuie RemcosRAT către ținte din Ucraina. În mai multe ocazii, anul trecut, Echipa Ucrainei de Răspuns la Urgență Informatică (CERT-UA) a avertizat cu privire la campaniile actorului de amenințare pentru a distribui troianul de acces la distanță organizațiilor din țară.

Cel mai recent a fost an aviz din 21 decembrie 2023, despre o campanie de phishing în masă care implică e-mailuri cu un atașament care se pretindea a fi un contract care implică Kyivstar, unul dintre cei mai mari furnizori de telecomunicații din Ucraina. La începutul lunii decembrie, CERT-UA a avertizat despre un altul Distribuția de masă RemcosRAT campanie, aceasta implicând e-mailuri care se pretind a fi despre „pretenții judiciare” și „datorii” care vizează organizații și persoane din Ucraina și Polonia. E-mailurile conțineau un atașament sub forma unui fișier de arhivă sau fișier RAR.

CERT-UA a emis alerte similare cu alte trei ocazii anul trecut, una în noiembrie, cu e-mailuri cu tematica citației judecătorești servind ca mijloc de livrare inițial; altul, tot în noiembrie, cu e-mailuri presupuse de la serviciul de securitate al Ucrainei; și prima în februarie 2023 despre o campanie de e-mail în masă cu atașamente care păreau să fie asociate cu o instanță districtuală din Kiev.