ملخص تنفيذي

تستهدف حملات التصيد المستمرة من قبل UAC-0006، وهو عامل تهديد بدوافع مالية، عملاء أكبر بنك في أوكرانيا، PrivatBank. تستخدم هذه الحملة أرشيفات محمية بكلمة مرور تحتوي على ملفات JavaScript أو VBScript أو LNK ضارة لتجنب الاكتشاف. تتضمن الحمولات SmokeLoader، التي يتم تسليمها باستخدام حقن العمليات و PowerShell وثنائيات النظام الشرعية، مما يؤدي إلى اتصال C2 وتنفيذ الحمولة. تتداخل تكتيكات وتقنيات وإجراءات UAC-0006 (TTPs) مع تلك الخاصة بـ FIN7، مما يشير إلى العلاقات مع نشاط APT الروسي.

التحليل

استنادًا إلى سمات العينة، تمكنا من العثور على حملة نشطة يقوم بها ممثل التهديد. إنها حملة احتيال تحت عنوان الدفع تستهدف عملاء أكبر بنك مملوك للدولة في أوكرانيا.

حملة التصيد الاحتيالي تحت عنوان الدفع (تستهدف أكبر بنك مملوك للدولة في أوكرانيا)

تستهدف الجهات الفاعلة في مجال التهديد عملاء PrivatBank منذ نوفمبر 2024 على الأقل، حيث شوهدت أكثر من عشرين عينة متميزة في البرية منذ ذلك الحين.

1. إغراء التصيد الاحتيالي (SHA256): 5a0b48cc1a353c4ace5e9626 f17622611432a016577797d4d4c891 ca945 ffa7f8 (بنك خاص(_invoce_payment_20_12_2024.zip) يسقط 80 سنتيميتر 450 570 سي دي 338 أ 594546 (f9e) 6 (ج) 189 قدم مكعب (2) 849 (د) 3 (باك) 3759 سنتيمتر (53592) (aff) 30840 قدم (fb/90)19.12.2024p.pdf.js - يترجم إلى تعليمات الدفع رقم 187-FY بتاريخ 19.12.2024p.pdf.js)

‍

نص مترجم:

الحساب صالح لمدة ثلاثة أيام مصرفية. في حالة عدم الدفع خلال ثلاثة أيام مصرفية، سيتم تغيير المبلغ.

معلومات للعميل:

1. يتم الاحتفاظ باحتياطي المكونات (المواد) لمدة 5 أيام. تمديد فترة الاحتياطي ممكن

2. الوحدات الإلكترونية ولوحات الأدوات وقطع الغيار التي تم طلبها بشكل فردي وتبادلها وإعادتها

تحذير! يجب إصدار التوكيلات وفقًا للتعليمات رقم 99 المؤرخة 15 مايو 1996. في حالة شراء قطع الغيار، بما في ذلك الأشياء الثمينة. في حالة صيانة السيارة أو إصلاحها، لا يُقبل الإشارة إلى طراز السيارة ورقم التسجيل المكتوب على المبلغ.

‍‍

2. إغراء التصيد الاحتيالي (SHA256): e0c57518 aeef787 bcf7 cc13484486 cfa48458bdf6b0baee02598e777a3ef83f2 (invoce2.pdf) قطرات ca90047f4c8b5c6628e38f11c1b3411ac8f0040a2d72e35c1a37de1d9a127131 (السيكفا -----------) مسح نسخة من المالك.pdf.js) ودادا 50182ca98f75e0055f9b4a47d8ef3a6dda5c126cac309467c02257f3c1c0 (scqaşån-kıb4a47d8ef3c`vbs) - يترجم إلى نسخة ممسوحة ضوئيًا من Passport.vbs)

‍

‍

تدفق الهجوم

‍

‍

‍

1. يرسل ممثل التهديد بريدًا إلكترونيًا احتياليًا يحتوي على مرفق zip/rar محمي بكلمة مرور. من المرجح أن تكون الأرشيفات محمية بكلمة مرور لتجنب عمليات التحقق من أمان البريد الإلكتروني.
2. يتم استخراج ملف جافا سكريبت ضار وVBScript ضار من الأرشيف. ال
3. تقوم جافا سكريبت بإجراء عملية الحقن في wscript.exe، والتي بدورها تقوم بتشغيل أمر powershell المشفر.
4. يهدف الأمر powershell إلى إكمال مهمتين:
   
   1. أولاً، يفتح ملف PDF الذي كان من المفترض فتحه عندما يقوم المستخدم بتنزيل المرفق وتنفيذه.
   2. ثانيًا، يتصل بخوادم C2 الخاصة بـ SmokeLoader لتنزيل وتنفيذ الحمولة النهائية التي يختارها ممثل التهديد.
5. في الآونة الأخيرة، بدأنا نرى UAC-0006 تستخدم إغراء LNK في طعوم التصيد الاحتيالي الخاصة بها. عند تنفيذ ملف.lnk، يتم تشغيل powershell.exe باستخدام وسيطات سطر الأوامر المحددة. يؤدي هذا إلى تشغيل mshta.exe لاسترداد وتنفيذ الملف المستضاف على خوادم C2.

‍

الإسناد

لقد لاحظنا ما يلي حول الجهات الفاعلة في التهديد:

• إنهم مغرمون بإغراءات التصيد الاحتيالي مع قدرات ضارة.
• إنهم يحبون فقط بوويرشيل.
• لقد استهدفوا باستمرار أكبر بنك في أوكرانيا (مثال - رسائل البريد الإلكتروني المخادعة المتعددة المرسلة إلى Privatbank، أوكرانيا)

تتداخل هذه السمات بشكل وثيق مع ملف تعريف يو آك-0006، وهي مجموعة من الجهات الفاعلة في مجال التهديد بدوافع مالية. بين عامي 2023 و 2025، بدأت مجموعة الجهات الفاعلة في مجال التهديد في استخدام الروابط والنصوص البرمجية في حياتهم التصيد سلسلة الهجوم، بالإضافة إلى ما كان معروفًا علنًا وفقًا لـ التقرير السابق. يسلط هذا الضوء على تداخل TTP مع EmpireMonkey، وهي مجموعة من الجهات الفاعلة في مجال التهديد التي يبدو أنها مرتبطة مباشرة بـ Carbanak و/أو Anunak و/أو FIN7. من المهم ملاحظة أن FIN7 هي مجموعة APT روسية لها علاقات معروفة بمجموعة Black Basta ransomware.

‍

‍

التأثير

• اختراق البيانات الحساسة: يخاطر ضحايا حملة التصيد الاحتيالي بالكشف عن البيانات الشخصية أو بيانات الشركة الحساسة، بما في ذلك بيانات الاعتماد والمعلومات المالية والأسرار التنظيمية، والتي يمكن استغلالها لمزيد من الهجمات أو بيعها في الأسواق السرية.
• جمع بيانات الاعتماد والتجسس: تستهدف حملات التصيد الاحتيالي هذه الأفراد في الصناعات الرئيسية، مما قد يؤدي إلى تمكين أنشطة التجسس والوصول غير المصرح به إلى الأنظمة الحيوية والاضطرابات التشغيلية.
• تلف العلامة التجارية وعدم الثقة: تواجه الشركات التي تنتحل شخصيتها في خدع التصيد الاحتيالي، مثل CMIT Solutions و Soho Square Solutions و Templar Protective Associates، ضررًا بالسمعة، مما يؤدي إلى تآكل الثقة بين عملائها وأصحاب المصلحة.
• مخاطر سلسلة التوريد: يؤدي انتحال شخصية مقدمي الخدمات والاستشاريين إلى زيادة مخاطر الهجمات النهائية لسلسلة التوريد، مما قد يؤثر على المنظمات والصناعات المرتبطة.

‍التخفيف

• المراقبة والحظر: مراقبة المؤشرات الضارة وحظرها بشكل استباقي باستخدام خلاصات معلومات التهديدات لمنع الوصول إلى القرص أو DNS أو الشبكة.
• الاستجابة للحوادث وإعداد التقارير: تنفيذ قواعد يارا المحددة بناءً على العتبات الداخلية. وضع إجراءات قوية للاستجابة للحوادث لتحديد محاولات التصيد الاحتيالي واحتوائها بسرعة، وتشجيع الموظفين والمجتمع على الإبلاغ عن الأنشطة المشبوهة لتسهيل إجراءات الإزالة.
• تدريب التوعية الأمنية: تثقيف الموظفين، وخاصة أولئك الذين يشاركون في التوظيف أو أدوار الموارد البشرية، للتعرف على محاولات التصيد الاحتيالي، مثل رسائل البريد الإلكتروني غير المرغوب فيها المتعلقة بالوظيفة من المجالات المشبوهة أو جهات الاتصال غير المألوفة.

‍المراجع

• *مصدر الذكاء وموثوقية المعلومات - ويكيبيديا
• ^#بروتوكول إشارات المرور - ويكيبيديا

‍الملحق

رسم خرائط MITRE

‍

‍

مؤشرات التسوية

‍

‍

rule Detect_Obfuscated_PowerShell_AES_Decryption {
    meta:
        author = "CloudSEK TRIAD"
        description = "Detects obfuscated PowerShell execution with AES decryption techniques"
        date = "2025-01-28"
        threat_actor = "Unknown"
        ttp = "Obfuscated PowerShell with AES decryption"

    strings:
        $powershell_flags = "-w 1 -ep Unrestricted -nop"
        $split_obfuscation = "return -split"
        $aes_create = "[Security.Cryptography.Aes]::Create()"
        $decryptor = ".CreateDecryptor("
        $transform_final_block = ".TransformFinalBlock("
        $char_array_join = "-join [char[]]"
        $custom_function_start = "function "
        $hex_processing = "-replace '..', '0x$& '"

    condition:
        uint16(0) == 0x5a4d and
        (
            all of ($powershell_flags, $split_obfuscation) or
            all of ($aes_create, $decryptor, $transform_final_block) or
            all of ($custom_function_start, $hex_processing)
        )
}

rule Detect_PowerShell_TTP_JS_PDF_Lure {
    meta:
        description = "Detects malicious PowerShell TTP triggered from .js in phishing PDF lures"
        author = "CloudSEK TRIAD"
        date = "2025-01-28"
        reference = "Threat intelligence analysis"
        tags = ["PowerShell", "phishing", "TTP", "malware", "PDF", "JS"]

    strings:
        $powershell_flags = "-w 1 -ep Unrestricted -nop"
        $function_def_bdhOG = "function bdhOG"
        $function_def_ujddZ = "function ujddZ"
        $aes_create = "([Security.Cryptography.Aes]::Create()).CreateDecryptor"
        $wscript_call = /"WScript\.exe" called "CreateProcessW" with parameter/i
        $embedded_js = /.*<\/script>/is

    condition:
        1 of ($powershell_flags, $function_def_bdhOG, $function_def_ujddZ, $aes_create) and
        $wscript_call and
        $embedded_js
}