В Страстную пятницу разбираем пристрастия и грехи, которые для пользователей часто заканчиваются финансовыми потерями, а для мошенников — прибылью.

Киберпреступники играют на человеческих слабостях, но это часть нашей природы, с которой бороться тяжело. А вот с мошенниками — проще, если знать нужные инструменты.

➡️ В карточках разбираем, как классические грехи превращаются в схемы атак, и подсказываем, какие технологии F6 помогают их предотвратить.

⚡️ Попробуйте решения F6 бесплатно в течение месяца — и убедитесь, как они работают на практике.

⚡️Группировка Hive0117 провела масштабную фишинговую кампанию с использованием ВПО DarkWatchman.

Принципу «Давайте уже после праздников» киберпреступники не следуют и расслабляться не дают. 29 апреля специалисты F6 Threat Intelligence отследили активность группировки Hive0117, которая провела масштабную фишинговую атаку, ориентированную на российские компании. Целевые отрасли: медиа, туризм, финансы и страхование, производство, ритейл, энергетика, телеком, транспорт, биотехнологии.

Hive0117 — это финансово-мотивированная группировка, которая проводит атаки с февраля 2022 года с использованием ВПО DarkWatchman. Рассылки носят массовый характер. Злоумышленники маскируются под реальные организации, регистрируют инфраструктуру для рассылок и управляющих доменов, зачастую домены используют повторно. Цели были выявлены в России, Беларуси, Литве, Эстонии, Казахстане.

Система F6 Managed XDR зафиксировала и заблокировала массовую рассылку писем с темой «Документы от 29.04.2025», отправленных с адреса manager@alliance-s[.]ru на 550+ адресов (рис. 1).

⤵️ Внутри — вложение в виде защищенного паролем архива, распространяемого под именами:

▪️«Док-ты от 29.04.2025.rar» (MD5: 8be367b5521e30979f9a4ca3f5bb04fa);
▪️«Документы от 29.04.2025.rar» (MD5: 91e85f333ce0a8547f438c98f158e685);
▪️«Документация от 29.04.2025.rar» (MD5: 52046d44d6e4dbf55ba03b0c177ac838).

Открытие архива запускало вредоносную цепочку, ведущую к заражению системы модифицированной версией ВПО DarkWatchman, способной действовать скрытно и избегать обнаружения традиционными средствами защиты.

🔍 Дополнительный анализ позволил заключить, что домен alliance-s[.]ru был зарегистрирован на те же данные (рис. 2), что и домены voenkomat-mil[.]ru и absolut-ooo[.]ru, используемые группировкой в рассылках в 2023 году. Тогда с домена voenkomat-mil[.]ru рассылались письма с вложением «Мобилизационное предписание №5010421409-ВВК от 10.05.2023[.]zip», а с домена absolut-ooo[.]ru — «Акт сверки №114-23 от 29.09.2023[.]zip».

‼️ Повторное использование регистрационных данных и C2 доменов свидетельствует о приверженности группировки к использованию привычных инфраструктур и инструментов.

😉 Борьба с киберпреступностью

⚡️ F6 зафиксировала активность группировки Core Werewolf против военных организаций Беларуси и России.

Core Werewolf — кибершпионская группа, которая атакует организации, связанные с ОПК, объекты критической информационной инфраструктуры. Первые атаки были замечены в августе 2021 года. В своих кампаниях группа использует ПО UltraVNC и MeshCentral.

‼️🇧🇾 2 мая на общедоступную онлайн-песочницу был загружен .eml-файл. Электронное письмо (рис. 1) было отправлено 29 апреля с адреса al.gursckj@mail[.]ru и содержало вложение — защищенный паролем архив с именем «Списки_на_нагр.7z», который специалисты F6 отнесли к арсеналу группы Core Werewolf.

▪️ Внутри архива находился 7z-архив «Списки на уточнение вс представляемых к награждению гос награды.exe». Запуск исполняемого файла приводил к распаковке файлов во временный каталог, инициации отображения PDF-документа (рис. 2), запуску CMD-скрипта и в результате — активации на устройстве жертвы UltraVNC.

Файлы-приманки в виде наградных списков уже неоднократно использовались в атаках этой группировки, наряду с файлами, содержащими координаты военных объектов, и прочими документами.

➡️ Анализ файла из атаки на F6 Malware Detonation Platform

‼️🇷🇺 17 апреля специалисты F6 обнаружили еще один вредоносный исполняемый файл — undoubtedly.exe, загруженный на сервис VirusTotal и приписанный группе Core Werewolf. PDF-файл-приманка «Отсканированные документы_785_Выписка по противнику_по_состоянию_на_04_14_к_докладу.pdf» в архиве содержал информацию военного характера, поэтому вредонос, вероятно, применяли в атаках на российские военные организации.

▪️ Помимо PDF-файла, дроппер извлекал скрипт conscience.cmd, который запускал аналогичную с вышеописанной цепочку с участием файлов exception.bat и divine.bat. В результате запускался тот же исполняемый файл UltraVNC, обеспечивая злоумышленникам удаленный доступ к системе жертвы.

➡️ Подробности атак описали на Habr