fbpx
Зараз в ефірі: Обличчя війни
Наживо

Неділя, 23 Лютого, 2025, 08:30:50

weather-icon
˚C

Держспецзв’язку попереджає про нову кібератаку на державні організації

07.07.2022, 17:03

Урядовою командою реагування на комп’ютерні надзвичайні події України CERT-UA отримано інформацію щодо розповсюдження 05.07.2022 електронних листів з темою “Спеціалізованої прокуратури увійськовій та оборонній сфері. Інформація щодо наявності вакансій та їх укомплектування” та вкладенням у вигляді XLS-документу “Інформація щодо наявності вакансій та їх укомплектування.xls”.

Документ містить макрос, активація якого призведе до створення на комп’ютері та запуску файлу “write.exe”.

Згаданий файл виконує роль дропера, забезпечуючи створення на диску файлу “%PROGRAMDATA%\TRYxaEbX”, його дешифрування (RC4) та подальший запуск PowerShell-скрипта. Крім того, EXE-файл також забезпечує власну персистентність, створюючи ключ “Check License” в гілці “Run” реєстру Windows.

Отриманий PowerShell-скрипт, окрім обходу AMSI та відключення логування подій для PowerShell, забезпечить декодування та декомпресію даних в наступний PowerShell-скрипт, який, у свою чергу, забезпечить виконання шкідливої програми Cobalt Strike Beacon.

З середнім рівнем впевненості виявлену активність асоціюємо з діяльністю групи UAC-0056.

Індикатори компрометації

Файли:

c6e7af8d31a951b8c05565ab18c4f258    024054ff04e0fd75a4765dd705067a6b336caa751f0a804fefce787382ac45c1    Інформація щодо наявності вакансій та їх укомплектування.xls
28f18fc7d9a0ab530742c2314cbd5c32    14736be09a7652d206cd6ab35375116ec4fad499bb1b47567e4fd56dcfcd22ea    write.exe (2022-07-04)
8409920ef2d78549fc214718c4719d3a    e68c83ce6359691ce63c957ebfdbf959c5b199c83fd2480aebe4220fec9f3304    TRYxaEbX
1dc98fb372925fcba321b0bc8347fdcc    d1e6d365a3ede77bd7f6c77523b114dd9628f7b9bafb2e458f9b19bd6ce24c71    TRYxaEbX.ps1
f4217387333f65faeb7b13637c1e7c72    e1cbfef74b4084023a1f02ab68b3ad3bc60561f7e988860b80ac94a91922fa86    TRYxaEbX_2.ps1
26e326ba69f5258c4979902b5bd4f24e    9dec13e1b0ed9337fcbe233d5f83eff09c64a14c7f2400b9b915a685b29612ea    shellcode.x86 (Cobalt Strike Beacon)
a4b4047022bce6f65faffc4c6033c5d2    c1e14c4d8d83281de413ccaa577621a057195df3773960274aabf855e2c7bea2    shellcode.x64 (Cobalt Strike Beacon)

Мережеві:

skreatortemp[.]site
hXXps://skreatortemp[.]site/s/08u1XdxChhMrLYdTasfnOMQpbsLkpq3o/field-keywords/
hXXps://skreatortemp[.]site/nBz07hg5l3C9wuWVCGV-5xHHu1amjf76F2A8i/avp/amznussraps/
Mozilla/5.0_Frsg_stredf_o21_rutyyyrui_type (Windows NT 10.0; Win64; x64; Trident/7.0; D-M1-200309AC;D-M1-MSSP1; rv:11.0) like Gecko_10984gap

Хостові:

%PROGRAMDATA%\TRYxaEbX
%TMP%\write.exe
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Check License
%PROGRAMFILES(x86)%\Microsoft Office\Office14\EXCEL.EXE %TMP%\write.exe (створення процесу)

Рекомендації

1. Заборонити можливість створення небезпечних дочірніх процесів з офісних програм (наприклад, https://support.eset.com/en/kb6119-configure-hips-rules-for-eset-business-products-to-protect-against-ransomware)

Графічні зображення

Telegram
Дивіться також
Школяр з Дніпра на третину прискорив вирощування базиліку Школяр з Дніпра на третину прискорив вирощування базиліку

У свої 16 років хлопець винайшов інноваційну методику вирощування рослин, чим здійснив прорив у сфері агротехнологій. Методика школяра дозволяє скоротити цикл росту ...

У Дніпрі на Монастирському острові велосипедист провалився під кригу У Дніпрі на Монастирському острові велосипедист провалився під кригу

У Дніпрі рятувальники надали допомогу чоловіку, який провалився під кригу. Інцидент стався на острові Монастирський у Соборному районі. Про це повідомляє ДСНС ...

росіяни атакували безпілотниками й КАБами Нікопольщину і Синельниківщину: пошкоджено будинки та інфраструктуру росіяни атакували безпілотниками й КАБами Нікопольщину і Синельниківщину: пошкоджено будинки та інфраструктуру

Протягом дня агресор атакував Нікопольщину безпілотниками – бив дронами-камікадзе та скинув боєприпас з БпЛА. Під прицілом були Нікополь та Марганецька ...

«Вдячні міській владі, що організували такі місця обігріву. При нинішньому морозі це рятує. Тут комфортно», — мешканці Придніпровська про розгорнуті пункти незламності «Вдячні міській владі, що організували такі місця обігріву. При нинішньому морозі це рятує. Тут комфортно», — мешканці Придніпровська про розгорнуті пункти незламності

У ж/м Придніпровськ у Дніпрі  розгорнули як стаціонарні пункти незламності в школах, так і мобільні точки обігріву — намети у дворах будинків. Зробили це у ...

У Дніпрі швидкісний інтернет провели ще до трьох закладів позашкілля У Дніпрі швидкісний інтернет провели ще до трьох закладів позашкілля

Центр розвитку дітей та молоді «СтартУм» у Дніпрі. У закладі позашкілля  затишно та приємно. «Ми робимо умови, щоб дітям хотілося до нас йти. Намагаємося прищепити ...

Двоє чоловіків провалилися під кригу в Синельниківському районі Дніпропетровщини: один загинув Двоє чоловіків провалилися під кригу в Синельниківському районі Дніпропетровщини: один загинув

Удень, у селищі Богодарівка Покровської СТГ Синельниківського району, двоє чоловіків провалилися під лід на річці Вовча, повідомляє пресслужба ДСНС Дніпропетровщини. ...

«Такі продуктові набори щомісяця – це гарна підмога», — переселенка про допомогу від Дніпра «Такі продуктові набори щомісяця – це гарна підмога», — переселенка про допомогу від Дніпра

У Дніпрі вимушені переселенці продовжують щомісяця отримувати безкоштовні набори продуктів харчування. Придбані вони коштом міського бюджету. Серед іншого, у них — ...

Юніори з Дніпропетровщини здобули 7 медалей на чемпіонаті України з легкої атлетики Юніори з Дніпропетровщини здобули 7 медалей на чемпіонаті України з легкої атлетики

Юні спортсмени з Дніпропетровщини яскраво виступили на чемпіонаті України з легкої атлетики у приміщенні, який проходив у Києві 18-19 лютого. Наші легкоатлети ...

Гіркий смак пам’яті: у Дніпрі відкрилася виставка – історично достовірні ілюстрації до спогадів про виживання у часи Голодомору Гіркий смак пам’яті: у Дніпрі відкрилася виставка – історично достовірні ілюстрації до спогадів про виживання у часи Голодомору

У Дніпрі відкрили виставку «Гіркий смак пам’яті», на якій представлені 15 живописних робіт. Вони виконані художницею Юлією Лисенко. Це історично достовірні ...

Більше 160 БпЛА спрямував ворог по Україні та Дніпропетровщині в ніч на 22 лютого: скільки знищено Більше 160 БпЛА спрямував ворог по Україні та Дніпропетровщині в ніч на 22 лютого: скільки знищено

У ніч на 22 лютого противник атакував 162-ма ударними БпЛА типу Shahed і безпілотниками-імітаторами різних типів, повідомляють Повітряні Сили ЗСУ. Станом на 08:00 ...