Кибершпионы атаковали военную базу РФ в Армении

F.A.C.C.T., российский разработчик технологий для борьбы с киберпреступлениями, зафиксировал новую активность группировки кибершпионов Core Werewolf.  Вредоносный файл группировки был загружен из Гюмри (Армении), а целью атаки были российские военные. Об этом редакции IT Speaker рассказали в компании. 

Core Werewolf (PseudoGamaredon) — кибершпионская группа, которая активно атакует российские организации, связанные с оборонно-промышленным комплексом, объекты критической информационной инфраструктуры. Впервые были замечены в августе 2021 года. В марте 2024 года Core Werewolf атаковала российский НИИ, занимающийся разработкой вооружения. А в начале апреля — российский оборонный завод. В своих кампаниях группа использует программное обеспечение UltraVNC. 

Специалисты F.A.C.C.T. обнаружили на платформе для анализа подозрительных файлов и ссылок VirusTotal,  загруженный из Армении вредоносный файл, связанный с группировкой кибершпионов Core Werewolf. Он представляет собой самораспаковывающийся архив 7zSFX, предназначенный для скрытой установки и запуска легитимной программы удаленного доступа — UltraVNC. Предполагаемой целью атаки является 102-я российская военная база. 

В качестве документа-приманки использовалось ходатайство о якобы представлении к госнаградам, в том числе «Ордену Мужества» военнослужащих, отличившихся в ходе проведения СВО. Кроме того, вредоносный файл был загружен на VirusTotal из города Гюмри (Армения), в котором дислоцируется 102-ая российская военная база.

Документ-приманка «perevod.pdf» представляет собой ходатайство, содержащее список военнослужащих, представленных к госнаградам, в том числе — «Ордену Мужества» — за отличную службу в ходе проведения СВО, с указанием их звания, ФИО и личного номера.

В качестве C2 (инфраструктуры управления и контроля зараженных устройств) злоумышленники использовали домен mailcommunity[.]ru. Этот домен был зарегистрирован год назад одновременно с другим доменом группы Core Werewolf, который использовался в кампании в 2023 году. За день до истечения срока жизни домена злоумышленники продлили его еще на год и в этот же день начали использовать его для проведения атак. Разворачиваемый образец UltraVNC, его конфигурационный файл и адрес C2 такие же, как и в ранее раскрытых атаках группы Core Werewolf. 

Также специалисты Threat Intelligence компании F.A.C.C.T. обнаружили на платформе VirusTotal загруженные из России в марте и апреле 2024 года вредоносные исполняемые файлы, которые представляют собой ранее неописанные дропперы, реализованные на языке Go. Дропперы имеют идентичные функциональные возможности, и они предназначены для скрытой установки и запуска клиента UltraVNC. 

Конфигурационный файл и клиент UltraVNC совпадают по хеш-суммам с описанными выше в статье файлами, а также в качестве C2 используется тот же домен: mailcommunity[.]ru:443. 

По словам начальника управления Федеральной службы по техническому и экспортному контролю России (ФСТЭК) Дмитрия Шевцова, почти каждое предприятие российского оборонно-промышленного комплекса (ОПК) столкнулось с хакерскими атаками с 2022 года. Часто речь идет о DDoS-атаках на сайты, на которых размещается общедоступная информация предприятий ОПК. Целью также становятся информационные системы и автоматизированные системы управления, которые предполагают использование интернета. Чиновник подчеркнул, что такие атаки проводятся ежедневно.