C­E­R­T­-­U­A­,­ ­O­C­E­A­N­M­A­P­,­ ­M­A­S­E­P­I­E­ ­v­e­ ­S­T­E­E­L­H­O­O­K­’­u­ ­D­a­ğ­ı­t­a­n­ ­Y­e­n­i­ ­K­ö­t­ü­ ­A­m­a­ç­l­ı­ ­Y­a­z­ı­l­ı­m­ ­D­a­l­g­a­s­ı­n­ı­ ­O­r­t­a­y­a­ ­Ç­ı­k­a­r­d­ı­

Ukrayna Bilgisayar Acil Durum Müdahale Ekibi (CERT-UA), hassas bilgileri toplamak amacıyla OCEANMAP, MASEPIE ve STEELHOOK gibi daha önce belgelenmemiş kötü amaçlı yazılımları dağıtmak amacıyla Rusya bağlantılı APT28 grubu tarafından düzenlenen yeni bir kimlik avı kampanyası konusunda uyardı.

Etkinlik, saptanmış Ajans tarafından 15 ve 25 Aralık 2023 tarihleri ​​arasında, alıcıları bir belgeyi görüntülemek için bir bağlantıya tıklamaya teşvik eden e-posta mesajlarıyla devlet kurumlarını hedef alıyor.

Ancak tam tersine, bağlantılar, JavaScript’i ve “search-ms:” URI protokol işleyicisini kötüye kullanan kötü amaçlı web kaynaklarına yönlendirerek, bilinen yeni bir kötü amaçlı yazılım için bir enfeksiyon zincirini etkinleştirmek üzere PowerShell komutlarını başlatan bir Windows kısayol dosyasını (LNK) bırakır. MASEPIE olarak.

MASEPIE, komut ve kontrol (C2) sunucusuyla iletişimin TCP protokolünü kullanan şifreli bir kanal üzerinden gerçekleştiği, dosyaları indirmek/yüklemek ve komutları yürütmek için kullanılan Python tabanlı bir araçtır.

Saldırılar ayrıca, web tarayıcısı verilerini toplayıp bunları Base64 kodlu formatta aktör kontrollü bir sunucuya aktarabilen STEELHOOK adlı bir PowerShell betiği de dahil olmak üzere ek kötü amaçlı yazılımların dağıtımının önünü açıyor.

Ayrıca cmd.exe kullanarak komutları yürütmek için tasarlanmış, OCEANMAP adlı C# tabanlı bir arka kapı da teslim ediliyor.

” IMAP protokolü CERT-UA, “bir kontrol kanalı olarak kullanılıyor” dedi ve Windows Başlangıç ​​klasöründe “VMSearch.url” adlı bir URL dosyası oluşturularak kalıcılığın artırılması sağlandı.

“Base64 kodlu formdaki komutlar, ilgili e-posta dizinlerinin ‘Taslaklarında’ bulunur; taslakların her biri bilgisayarın adını, kullanıcının adını ve işletim sisteminin sürümünü içerir. Komutların sonuçları gelen kutusu dizininde saklanır.”