Викурення афілійованої особи: SmokedHam, Qilin, кілька оголошень Google і трохи bossware

SOC Prime Team

Стежити

Викурення афілійованої особи: SmokedHam, Qilin, кілька оголошень Google і трохи bossware

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Підсумок

Orange Cyberdefense повідомили, що на початку 2026 року афіліат з розповсюдженням програм-вимагачів поширював бекдор SmokedHam через шкідливі оголошення, що маскувались під легітимне утилітне програмне забезпечення. В принаймні одній підтвердженій інфільтрації бекдор був використаний для доставки Qilin ransomware. Дослідники з середньо впевненістю пов’язали цю активність з російськомовним афіліатом UNC2465, загрозливим актором, раніше пов’язаним з операціями DarkSide, LockBit та Hunters International.

Розслідування

Розслідування охопило понад 30 зразків SmokedHam, зібраних у 2025 і 2026 роках, і виявило домени, що займалися шкідливою рекламою та використовували Cloudflare Workers для маскування доменів разом з інфраструктурою на базі AWS. Аналітики також зафіксували зловживання легітимними інструментами, такими як PuTTY і Total Commander, для того, щоб шкідлива активність зливалася з нормальними адміністративними операціями. Звіт також висвітлив тактичні перекриття з активністю, раніше пов’язаною з UNC2465.

Захист

Захисникам слід блокувати відомі домени шкідливої реклами, забезпечити дозвіл тільки для певних додатків, таких як RVTools і Remote Desktop Manager, і відстежувати незвичайне використання легітимних адміністративних утиліт. Слід також посилити покриття засобами виявлення на кінцевих точках, щоб ідентифікувати поведінку бекдора SmokedHam та пов’язану з ним активність після компрометації. Використання потоків загрозової інформації з хмари може додатково покращити зусилля з виявлення та збагачення.

Відповідь

Якщо виявлено підозрілу активність, негайно ізолюйте уражену систему, збирайте судові артефакти та шукайте індикатори, пов’язані як з SmokedHam, так і з Qilin. Слід також встановити, чи відбулося викрадення облікових даних або шифрування даних програмою-вимагачем. Рекомендується провести ширший пошук загроз, пов’язаних з інфраструктурою, а також активувати встановлені процедури реагування на інциденти з програмами-вимагачами.

graph TB classDef action fill:#99ccff classDef malware fill:#ff6666 classDef tool fill:#cccccc classDef service fill:#ffd966 classDef impact fill:#ff9999 action_initial[“Дія – T1659 Впровадження контенту (Malvertising) Шкідливий інсталятор, замаскований під RVTools/Remote Desktop Manager”] class action_initial action action_user_exec[“Дія – T1204 Виконання користувачем Жертва запускає інсталятор”] class action_user_exec action malware_smokedham[“Шкідливе ПЗ – T1127 Виконання через довірені утиліти розробника Бекдор SmokedHam встановлено”] class malware_smokedham malware action_embedded_payload[“Дія – T1027.009 Вбудовані payload-и SmokedHam прихований у легітимній утиліті”] class action_embedded_payload action action_polymorphic[“Дія – T1027.014 Поліморфний код Використання packing і мутації коду”] class action_polymorphic action action_rat[“Дія – T1219 Віддалені інструменти доступу SmokedHam встановлює C2 через легітимні інструменти”] class action_rat action tool_putty[“Інструмент – PuTTY SSH клієнт для C2”] class tool_putty tool tool_kitty[“Інструмент – KiTTY SSH клієнт-варіант”] class tool_kitty tool tool_zoho[“Інструмент – Zoho Assist Remote support для C2”] class tool_zoho tool action_c2_comm[“Дія – T1102.001/002/003 Комунікація C2 через Cloudflare Workers та AWS”] class action_c2_comm action service_cloudflare[“Сервіс – Cloudflare Workers”] class service_cloudflare service service_aws[“Сервіс – AWS”] class service_aws service action_tunnel[“Дія – T1572 Протокольний тунелювання Трафік через легітимні сервіси”] class action_tunnel action action_ssh_hijack[“Дія – T1563.001 Перехоплення SSH сесій Використання викрадених облікових даних”] class action_ssh_hijack action action_rdp_hijack[“Дія – T1563.002 Перехоплення RDP сесій”] class action_rdp_hijack action action_exploit_remote[“Дія – T1210 Експлуатація віддалених сервісів Латеральний рух всередині мережі”] class action_exploit_remote action action_input_capture[“Дія – T1056.003 Захоплення введення Збір облікових даних через вебпортал”] class action_input_capture action action_account_manip[“Дія – T1098.004 Маніпуляція обліковими записами Додавання SSH ключів для персистентності”] class action_account_manip action malware_qilin[“Шкідливе ПЗ – Qilin Ransomware Шифрує дані жертви”] class malware_qilin impact action_initial –>|призводить до| action_user_exec action_user_exec –>|призводить до| malware_smokedham malware_smokedham –>|призводить до| action_embedded_payload action_embedded_payload –>|призводить до| action_polymorphic action_polymorphic –>|призводить до| action_rat action_rat –>|використовує| tool_putty action_rat –>|використовує| tool_kitty action_rat –>|використовує| tool_zoho action_rat –>|комунікує через| action_c2_comm action_c2_comm –>|використовує| service_cloudflare action_c2_comm –>|використовує| service_aws action_c2_comm –>|активує| action_tunnel action_tunnel –>|активує| action_ssh_hijack action_ssh_hijack –>|активує| action_rdp_hijack action_rdp_hijack –>|активує| action_exploit_remote action_exploit_remote –>|активує| action_input_capture action_input_capture –>|активує| action_account_manip action_account_manip –>|активує| malware_qilin

Потік Атаки

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно