APT-C-51: Изощренные атаки на правозащитников и СМИ
Группа APT-C-51, известная также под псевдонимами Phosphorus, активно действует с 2012 года и нацелена на кибератаки в таких странах, как Великобритания, Соединенные Штаты и Израиль. Основные мотивы ее деятельности включают политические и экономические интересы, при этом главными целями становятся активисты-правозащитники, представители средств массовой информации и научных кругов.
Методы атаки
Недавние нападения на Ближнем Востоке продемонстрировали изощренные тактики, используемые группой, в частности:
- Использование многоуровневых вредоносных компонентов;
- Доставка вредоносных файлов с помощью ложных файлов LNK;
- Создание видимости PDF-документа для отвлечения пользователей.
В процессе атаки файл LNK, названный «Биография мистера Лиху Хакона.lnk», преобразуется в PDF-документ и сжатый пакет «osf.zip». Этот пакет содержит различные библиотеки DLL, включая «Wow.dll», которая предназначена для преодоления средств безопасности. Благодаря корректировке кода, группа эффективно обходит механизмы Advanced Malware Scripting Interface (AMSI) и Event Tracing for Windows (ETW), что позволяет ей запускать сценарии PowerShell без обнаружения.
Тайна шифрования
Атака использует Base64 и AES для шифрования и дешифрования данных, применяя два ключа AES: «{}nj45kdada0slfk» и «0123654789mkiujn». Эти ключи необходимы для извлечения сценариев PowerShell и дальнейших вредоносных действий.
Устойчивость и адаптивность
Настойчивость группы APT-C-51 видна в их способности адаптироваться и развивать стратегии. В новых версиях их вредоносного ПО обнаруживаются функции самостабилизации, которые позволяют получать онлайн-уведомления через Telegram. Это подчеркивает стремление группы повысить эффективность своих атак и обходить современные механизмы обнаружения.
Вредоносное ПО PowerLess
Одним из наиболее заметных образцов разработки является троян PowerLess, созданный для сбора конфиденциальной информации о пользователях. Такие технологии делают APT-C-51 одной из наиболее опасных киберугроз современности.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
