F.A.C.C.T. нашли ранее неизвестный загрузчик группы PhantomCore

С марта 2024 специалисты F.A.C.C.T. обнаруживают ранее неизвестный загрузчик PhantomDL (или PhantomGoDownloader). Изучение найденных образцов позволил установить ряд связей с группой PhantomCore, на основе которых эксперты с высокой долей уверенности атрибутировали PhantomDL к этой же группировке. 

Напомним, что PhantomCore — группа кибершпионов, действующая с начала 2024 года против российских организаций. Сообщается, что ранее группировка рассылала фишинговые письма с запароленными вредоносными архивами во вложении и паролем в тексте письма. Эксперты полагают, что для распространения PhantomDL также использовались фишинговые рассылки с вложенным архивом. 

Специалисты отмечают, что киберпреступники эксплуатируют вариацию уязвимости WinRAR — CVE-2023-38831, в которой вместо ZIP-архивов используются RAR-архивы. Таким образом, если пользователь с версией WinRAR меньшей 6.23 запустит PDF-файл, будет запущен исполняемый файл, содержащийся в одноименной директории архива. В случае, если версия WinRAR 6.23 и выше, пользователю будет отображен легитимный PDF-файл. 

Обнаруженный исполняемый файл является загрузчиком, написанным на языке Go, для обфускации которого, предположительно, использовалась утилита garble. 

Таким образом, группа PhantomCore активно развивает свой инструментарий и переходит от стадии тестирования к наступлению. Если в первых атаках злоумышленники использовали простой загрузчик PhantomCore.Downloader, а специалисты обнаруживали в публичных песочницах тестовые образцы, то уже спустя месяц с момента обнаружения произошел переход к более сложному загрузчику PhantomDL. 

Ранее также сотрудники МВД России при поддержке специалистов компании F.A.С.С.T. вычислили и задержали участников преступной группы вымогателей SugarLocker. Работали злоумышленники под вывеской легальной ИТ-фирмы, предлагающей услуги по разработке лендингов, мобильных приложений и интернет-магазинов.