Кібератака групи APT28 з використанням шкідливої програми CredoMap_v2 (CERT-UA#4622)

Резюме

APT28 здійснили фішингову операцію, що доставила архів RAR з захистом паролем під назвою UkrScanner.rar. Усередині архіву знаходився самоінсталюючий (SFX) виконуваний файл, який встановлював CredoMap_v2. Шкідливе програмне забезпечення краде та ексфільтрує облікові дані за допомогою HTTP POST на інфраструктуру, контрольовану зловмисниками, розміщену на платформі Pipedream. Інцидент був розкритий CERT-UA (національною CERT України).

Розслідування

CERT-UA отримала підозріле повідомлення, яке видавало себе за її організацію і містило RAR-вкладення з захистом паролем. Обстеження SFX-навантаження виявило двійковий файл CredoMap_v2 та його процедуру ексфільтрації облікових даних на базі HTTP. Аналітики відстежили вихідний трафік до eo2mxtqmeqzafqi.m.pipedream.net та 69.16.243.33. На основі інструментів та інфраструктури діяльність було приписано відомій групі загроз APT28.

Захист

CERT-UA заблокувала шкідливий домен Pipedream та пов’язану з ним IP-адресу. Користувачам було рекомендовано розглядати архіви з захистом паролем як високий ризик і перевіряти особу відправника через надійні канали. Запобігання виконання невідомих виконуваних файлів за допомогою управління ОС та політик безпеки на кінцевих точках.

Відповідь

Навчайте користувачів розпізнавати фішинг та підтверджувати відправників, особливо коли вкладення захищені паролем. Поліпшуйте фільтрацію електронної пошти для підозрілих архівів і виконуваних файлів та блокуйте відому ворожу інфраструктуру. Моніторте вихідний HTTP-трафік на предмет неочікуваних запитів POST до ненадійних доменів та швидко розслідуйте будь-які збіги.

Виконання симуляції

Передумова: Перевірка телеметрії та базового рівня повинна бути успішно пройдена.

Обґрунтування: Цей розділ деталізує точне виконання техніки противника (TTP), призначене для запуску правила виявлення. Команди та розповідь МАЮТЬ безпосередньо відображати знайдені TTP та прагнути генерувати саме ту телеметрію, яка очікується логікою виявлення. Абстрактні чи не пов’язані приклади можуть призвести до помилкового діагнозу.

• Розповідь про атаку та команди:
  Оператор APT28 отримує фішинговий електронний лист з RAR-архівом, захищеним паролем. Усередині знаходиться самоінсталюючий (SFX) виконуваний файл під назвою UkrScanner.exe. Після вилучення архіву на машині жертви, оператор запускає SFX-заглушку, яка скидає та виконує шкідливу програму CredoMap_v2. Виконання UkrScanner.exe створює подію створення процесу, що відповідає правилу виявлення.

  Кроки симуляції (виконуються на тестовому хості):

  1. Створіть фіктивний виконуваний файл з назвою UkrScanner.exe (копія powershell.exe для безпеки).
  2. Запустіть фіктивний виконуваний файл, щоб імітувати виконання файлу SFX атакуючим.

• Скрипт регресійного тесту:

  # ==============================
  # Симуляція виконання CredoMap_v2 з SFX (UkrScanner.exe)
  # ==============================
  $tempPath = "$env:TEMPUkrScanner.exe"
  
  # 1. Підготуйте небезпечний замінник (копія powershell.exe)
  Copy-Item -Path "$env:SystemRootSystem32WindowsPowerShellv1.0powershell.exe" -Destination $tempPath -Force
  
  # 2. Переконайтесь, що файл виконуваний
  Unblock-File -Path $tempPath
  
  # 3. Запустіть фіктивну SFX-стаб (імітує запуск файлу атакуючим)
  Write-Host "Запускаю фіктивний SFX-виконуваний файл..."
  Start-Process -FilePath $tempPath -ArgumentList "-NoProfile -WindowStyle Hidden" -PassThru
  
  # 4. Пауза для забезпечення інгестії SIEM
  Start-Sleep -Seconds 5
  Write-Host "Симуляція завершена. Перевірте SIEM для виявлення процесу створення, що закінчується на 'UkrScanner.exe'."

• Команди очищення:

  # Зупиніть всі залишені процеси powershell, що були запущені фіктивним виконуваним файлом (якщо є)
  Get-Process -Name "powershell" -ErrorAction SilentlyContinue | Where-Object {$_.Path -like "*UkrScanner.exe"} | Stop-Process -Force
  
  # Видаліть фіктивний виконуваний файл
  $tempPath = "$env:TEMPUkrScanner.exe"
  if (Test-Path $tempPath) {
      Remove-Item -Path $tempPath -Force
      Write-Host "Очищення завершено: файл $tempPath видалено"
  }