Группа угроз использует редкую тактику передачи данных в новой кампании RemcosRAT

Переиздано Платоном

Читают: 0

Группа угроз использует редкую тактику передачи данных в новой кампании RemcosRAT PlatoBlockchain Data Intelligence. Вертикальный поиск. Ай.

Злоумышленник, известный тем, что неоднократно атаковал организации в Украине с помощью инструмента удаленного наблюдения и контроля RemcosRAT, снова вернулся, на этот раз с новой тактикой передачи данных без запуска систем обнаружения и реагирования на конечных точках.

Противник, отслеживаемый как UNC-0050, в своей последней кампании сосредоточил внимание на украинских правительственных структурах. Исследователи Uptycs, обнаружившие это, заявили, что атаки могут быть политически мотивированными и преследовать цель сбора конкретной разведывательной информации от украинских правительственных учреждений. «Хотя возможность государственного спонсорства остается спекулятивной, деятельность группы представляет неоспоримый риск, особенно для правительственных секторов, зависящих от систем Windows», — исследователи Uptycs Картиккумар Катиресан и Шилпеш Триведи. написал в отчете на этой неделе.

Угроза RemcosRAT

Злоумышленники использовали РемкосРАТ — который начал свою жизнь как законный инструмент удаленного администрирования — для контроля скомпрометированных систем, по крайней мере, с 2016 года. Помимо прочего, этот инструмент позволяет злоумышленникам собирать и похищать информацию о системе, пользователях и процессорах. Он может байпас множество антивирусных инструментов и инструментов обнаружения угроз для конечных точек, а также выполнять различные бэкдорные команды. Во многих случаях злоумышленники распространяли вредоносное ПО в виде вложений в фишинговые электронные письма.

Uptycs пока не удалось определить первоначальный вектор атаки в последней кампании, но заявили, что склоняются к фишинговым и спам-сообщениям на тему работы как наиболее вероятным методам распространения вредоносного ПО. Поставщик средств безопасности основывал свои оценки на рассмотренных им электронных письмах, в которых якобы предлагалось целевым украинским военным консультативные роли в Силах обороны Израиля.

По словам Uptycs, сама цепочка заражения начинается с файла .lnk, который собирает информацию о скомпрометированной системе, а затем извлекает HTML-приложение с именем 6.hta с удаленного сервера, контролируемого злоумышленником, с помощью собственного двоичного файла Windows. Полученное приложение содержит сценарий PowerShell, который инициирует загрузку двух других файлов полезной нагрузки (word_update.exe и ofer.docx) из домена, контролируемого злоумышленником, и, в конечном итоге, установку RemcosRAT в систему.

Несколько редкая тактика

Что отличает новую кампанию UNC-0050, так это использование злоумышленником Межпроцессное взаимодействие Windows функция, называемая анонимными каналами, для передачи данных в скомпрометированных системах. По описанию Microsoft, анонимный канал — это односторонний канал связи для передачи данных между родительским и дочерним процессом. По словам Катиресана и Триведи, UNC-0050 использует эту функцию для скрытой передачи данных без запуска каких-либо EDR или антивирусных предупреждений.

UNC-0050 — не первый злоумышленник, использующий каналы для кражи украденных данных, но такая тактика остается относительно редкой, отмечают исследователи Uptycs. «Хотя этот метод и не является совершенно новым, он знаменует собой значительный скачок в усложнении стратегий группы», — сказали они.

Это далеко не первый случай, когда исследователи безопасности обнаружили попытку UAC-0050 распространить RemcosRAT на цели в Украине. В прошлом году украинская группа реагирования на компьютерные чрезвычайные ситуации (CERT-UA) неоднократно предупреждала о кампаниях злоумышленника по распространению трояна удаленного доступа среди организаций в стране.

Самым последним был рекомендация от 21 декабря 2023 г., о массовой фишинговой кампании с использованием электронных писем с вложением, якобы являющимся контрактом с «Киевстар», одним из крупнейших телекоммуникационных провайдеров Украины. Ранее в декабре CERT-UA предупредил об еще одном Массовое распространение RemcosRAT Кампания, включающая электронные письма, якобы посвященные «судебным искам» и «долгам», направленным против организаций и частных лиц в Украине и Польше. Электронные письма содержали вложение в виде архивного файла или файла RAR.

CERT-UA выдавал подобные предупреждения еще три раза в прошлом году: один в ноябре, когда первым средством доставки служили электронные письма на тему повесток в суд; еще один, также в ноябре, с электронными письмами предположительно от службы безопасности Украины; и первое в феврале 2023 года о массовой рассылке по электронной почте с вложениями, которые, судя по всему, были связаны с районным судом Киева.