Sumário executivo

As campanhas de phishing em andamento do UAC-0006, um agente de ameaças com motivação financeira, têm como alvo os clientes do maior banco da Ucrânia, o PrivatBank. Esta campanha usa arquivos protegidos por senha contendo arquivos maliciosos de JavaScript, VBScript ou LNK para evitar a detecção. As cargas incluem o SmokeLoader, fornecido usando injeção de processo, PowerShell e binários legítimos do sistema, levando à comunicação C2 e à execução da carga útil. As táticas, técnicas e procedimentos (TTPs) do UAC-0006 se sobrepõem às do FIN7, indicando vínculos com a atividade russa de APT.

Análise

Com base nos atributos da amostra, conseguimos encontrar uma campanha ativa sendo realizada pelo agente da ameaça. É uma campanha de phishing com tema de pagamento direcionada a clientes do maior banco estatal da Ucrânia.

Campanha de phishing com tema de pagamento (visando o maior banco estatal da Ucrânia)

Os agentes da ameaça têm como alvo os clientes do PrivatBank desde pelo menos novembro de 2024, com mais de duas dúzias de amostras distintas vistas na natureza desde então.

1. Atraição de phishing (SHA256): 5a0b48ccc1a353c4ace5e9626f17622611432a016577797d4c891ca945ffa7f8 (Banco privado_invoce_payment_20_12_2024.zip) deixa cair 80c450570cd338a594546f9e6c189ffc2a849d3bac3759c53592af30840ffb90 (1971, 19 de dezembro de 2024p.pdf.js - traduz para Instrução de pagamento nº 187-FY datada de 19.12.2024p.pdf.js)

‍

Texto traduzido:

A conta é válida por três dias úteis. Em caso de não pagamento dentro de três dias úteis, o valor será alterado.

Informações para o cliente:

1. A reserva para componentes (materiais) é mantida por 5 dias. A extensão do período de reserva é possível

2. Unidades eletrônicas, painéis de instrumentos e peças de reposição que foram encomendadas individualmente, trocadas e devolvidas

AVISO! As procurações devem ser emitidas de acordo com a Instrução nº 99, de 15 de maio de 1996. No caso da compra de peças de reposição, incluindo objetos de valor. No caso de manutenção ou reparo do carro, não é aceito indicar o modelo do carro e o número de registro escritos no valor.

‍‍

2. Atraição de phishing (SHA256): e0c57518aeef787bcf7cc13484486cfa48458bdf6b0baee02598e777a3ef83f2 (invoce2.pdf) drops ca90047f4c8b5c6628e38f11c1b3411ac8f0040a2d72e35c1a37de1d9a127131 (1971) - se traduz em Cópia digitalizada do Owner.pdf.js) e dada50182ca98f75e0055f9b4a47d8ef3a6dda5c126cac309467c02257f3c1c0 (1971) - se traduz em Cópia digitalizada do Passport.vbs)

‍

‍

Fluxo de ataque

‍

‍

‍

1. O agente da ameaça envia um e-mail de phishing com um anexo zip/rar protegido por senha. É mais provável que os arquivos sejam protegidos por senha para evitar as verificações de segurança de e-mail.
2. Um arquivo javascript malicioso e um VBScript malicioso são extraídos do arquivo. O
3. O javascript executa a injeção de processo em wscript.exe, que, por sua vez, executa um comando PowerShell codificado.
4. O comando powershell serve para concluir duas tarefas:
   
   1. Primeiro, ele abre o PDF que deveria ser aberto quando o usuário baixou e executou o anexo.
   2. Em segundo lugar, ele entra em contato com os servidores C2 do SmokeLoader para baixar e executar a carga final escolhida pelo agente da ameaça.
5. Mais recentemente, estamos começando a ver o UAC-0006 usar uma isca LNK em suas iscas de phishing. Quando o arquivo.lnk é executado, ele executa o powershell.exe com os argumentos de linha de comando especificados. Isso inicia o mshta.exe para recuperar e executar o arquivo hospedado nos servidores C2.

‍

Atribuição

Observamos o seguinte sobre os atores da ameaça:

• Eles gostam de iscas de phishing com capacidades maliciosas.
• Eles simplesmente AMAM PowerShell.
• Eles têm como alvo persistente o maior banco da Ucrânia (exemplo: vários e-mails de phishing enviados para o Privatbank, Ucrânia)

Esses atributos se sobrepõem estreitamente ao perfil de UAC-0006, um grupo de agentes de ameaças com motivação financeira. Entre 2023 e 2025, o grupo de atores de ameaças começou a usar LNKs e VBScripts em seus phishing cadeia de ataque, além do que era conhecido publicamente de acordo com o relatório anterior. Isso destaca uma sobreposição do TTP com o EmpireMonkey, um grupo de agentes de ameaças que parece estar diretamente relacionado ao Carbanak, Anunak e/ou FIN7. É importante observar que o FIN7 é um grupo APT russo com laços conhecidos com o grupo de ransomware Black Basta.

‍

‍

Impacto

• Comprometimento de dados confidenciais: As vítimas da campanha de phishing correm o risco de divulgar dados pessoais ou corporativos confidenciais, incluindo credenciais, informações financeiras e segredos organizacionais, que podem ser explorados para novos ataques ou vendidos em mercados clandestinos.
• Coleta de credenciais e espionagem: Essas campanhas de phishing têm como alvo indivíduos nos principais setores, potencialmente permitindo atividades de espionagem, acesso não autorizado a sistemas essenciais e interrupções operacionais.
• Danos e desconfiança à marca: Empresas personificadas como iscas de phishing, como a CMIT Solutions, a Soho Square Solutions e a Templar Protective Associates, enfrentam danos à reputação, corroendo a confiança entre seus clientes e partes interessadas.
• Riscos da cadeia de suprimentos: A personificação de prestadores de serviços e consultores aumenta o risco de ataques posteriores à cadeia de suprimentos, potencialmente impactando organizações e setores associados.

‍Mitigação

• Monitoramento e bloqueio: monitore e bloqueie proativamente indicadores maliciosos usando feeds de inteligência contra ameaças para impedir o acesso no nível do disco, do DNS ou da rede.
• Resposta e relatórios de incidentes: implemente determinadas regras de yara com base em limites internos. Estabeleça procedimentos robustos de resposta a incidentes para identificar e conter tentativas de phishing rapidamente e incentive os funcionários e a comunidade a denunciar atividades suspeitas para facilitar as ações de remoção.
• Treinamento de conscientização sobre segurança: instrua os funcionários, especialmente aqueles envolvidos em funções de contratação ou de RH, a reconhecer tentativas de phishing, como e-mails não solicitados relacionados a empregos de domínios suspeitos ou contatos desconhecidos.

‍Referências

• *Fonte de inteligência e confiabilidade da informação - Wikipedia
• ^#Protocolo de semáforo - Wikipedia

‍Apêndice

Mapeamento MITRE

‍

‍

Indicadores de compromisso

‍

‍

rule Detect_Obfuscated_PowerShell_AES_Decryption {
    meta:
        author = "CloudSEK TRIAD"
        description = "Detects obfuscated PowerShell execution with AES decryption techniques"
        date = "2025-01-28"
        threat_actor = "Unknown"
        ttp = "Obfuscated PowerShell with AES decryption"

    strings:
        $powershell_flags = "-w 1 -ep Unrestricted -nop"
        $split_obfuscation = "return -split"
        $aes_create = "[Security.Cryptography.Aes]::Create()"
        $decryptor = ".CreateDecryptor("
        $transform_final_block = ".TransformFinalBlock("
        $char_array_join = "-join [char[]]"
        $custom_function_start = "function "
        $hex_processing = "-replace '..', '0x$& '"

    condition:
        uint16(0) == 0x5a4d and
        (
            all of ($powershell_flags, $split_obfuscation) or
            all of ($aes_create, $decryptor, $transform_final_block) or
            all of ($custom_function_start, $hex_processing)
        )
}

rule Detect_PowerShell_TTP_JS_PDF_Lure {
    meta:
        description = "Detects malicious PowerShell TTP triggered from .js in phishing PDF lures"
        author = "CloudSEK TRIAD"
        date = "2025-01-28"
        reference = "Threat intelligence analysis"
        tags = ["PowerShell", "phishing", "TTP", "malware", "PDF", "JS"]

    strings:
        $powershell_flags = "-w 1 -ep Unrestricted -nop"
        $function_def_bdhOG = "function bdhOG"
        $function_def_ujddZ = "function ujddZ"
        $aes_create = "([Security.Cryptography.Aes]::Create()).CreateDecryptor"
        $wscript_call = /"WScript\.exe" called "CreateProcessW" with parameter/i
        $embedded_js = /.*<\/script>/is

    condition:
        1 of ($powershell_flags, $function_def_bdhOG, $function_def_ujddZ, $aes_create) and
        $wscript_call and
        $embedded_js
}